如何配置Win2003的NTFS文件系統(tǒng)權(quán)限及IIS權(quán)限設(shè)置參考

如何配置Win2003的NTFS文件系統(tǒng)權(quán)限

一、首先了解權(quán)限設(shè)置的方案
1、被授予權(quán)限的對象分用戶和用戶組兩種
2、批量設(shè)置有兩大方案，當(dāng)設(shè)置某個目錄的權(quán)限時，進入高級
I 可設(shè)置是否繼承父級權(quán)限設(shè)置　（第一個勾）
II 可設(shè)置是否替換子目錄及文件的權(quán)限設(shè)置�。ǖ诙�個勾）

二、系統(tǒng)盤主要目錄的權(quán)限設(shè)置
C:只授予 System 和 Administrators 完全控制權(quán)限，刪除其他用戶或組，不替換子目錄

C:\Documents and Settings
僅繼承父級，并替換子目錄

C:\Inetpub
刪除之，不要使用該目錄作為網(wǎng)站發(fā)布的目錄。

C:\Program Files
僅繼承父級，并替換子目錄

C:\Program Files\Common Files\Microsoft Shared
刪除繼承并保留設(shè)置（在“高級”中取消第一個勾，再在彈出的對話中選“復(fù)制”）
添加 Users 組，只授予讀取權(quán)限
將該目錄的設(shè)置替換它的子目錄（勾中第二個勾）

C:\Windows
刪除繼承并保留設(shè)置
添加 Users 組，只授予讀取權(quán)限
將該目錄的設(shè)置替換它的子目錄
（具體做法和上面 /Microsoft Shared　目錄設(shè)置一樣）

C:\Windows\Temp
添加 IIS_WPG、ASPNET、Network Services、Network 用戶或組
授予完全控制權(quán)限，替換它的子目錄

C:\Windows\Microsoft.NET\Framework\v1.1.4322\Temporary ASP.NET Files
添加 Everyone，授予完全控制權(quán)限，將該設(shè)置替換它的子目錄

三、其他盤的設(shè)置
C盤設(shè)置完成，其他盤均僅給 System 和 Administrators 授予完全控制即可。
網(wǎng)站發(fā)布目錄授予IIS匿名用戶讀取訪問權(quán)限。需要.NET權(quán)限的目錄添加 IIS_WPG 組（或隸屬于該組的某個用戶），授予完全控制權(quán)限。

IIS權(quán)限設(shè)置參考

雖然 Apache 的名聲可能比 IIS 好，但我相信用 IIS 來做 Web 服務(wù)器的人一定也不少。說實話，我覺得 IIS 還是不錯的，性能和穩(wěn)定性都相當(dāng)不錯。但是我發(fā)現(xiàn)許多用 IIS 的人不太會設(shè)置 Web 服務(wù)器的權(quán)限，因此，出現(xiàn)漏洞被人黑掉也就不足為奇了。但我們不應(yīng)該把這歸咎于 IIS 的不安全。如果對站點的每個目錄都配以正確的權(quán)限，出現(xiàn)漏洞被人黑掉的機會還是很小的（Web 應(yīng)用程序本身有問題和通過其它方式入侵黑掉服務(wù)器的除外）。下面是我在配置過程中總結(jié)的一些經(jīng)驗，希望對大家有所幫助。

IIS Web 服務(wù)器的權(quán)限設(shè)置有兩個地方，一個是 NTFS 文件系統(tǒng)本身的權(quán)限設(shè)置，另一個是 IIS 下網(wǎng)站->站點->屬性->主目錄（或站點下目錄->屬性->目錄）面板上。這兩個地方是密切相關(guān)的。下面我會以實例的方式來講解如何設(shè)置權(quán)限。

IIS 下網(wǎng)站->站點->屬性->主目錄（或站點下目錄->屬性->目錄）面板上有：

腳本資源訪問
免費收錄網(wǎng)站 www.admin5.net

讀取
寫入
瀏覽
記錄訪問
索引資源
6 個選項。這 6 個選項中，“記錄訪問”和“索引資源”跟安全性關(guān)系不大，一般都設(shè)置。但是如果前面四個權(quán)限都沒有設(shè)置的話，這兩個權(quán)限也沒有必要設(shè)置。在設(shè)置權(quán)限時，記住這個規(guī)則即可，后面的例子中不再特別說明這兩個權(quán)限的設(shè)置。

另外在這 6 個選項下面的執(zhí)行權(quán)限下拉列表中還有：

無
純腳本
純腳本和可執(zhí)行程序
3 個選項。

而網(wǎng)站目錄如果在 NTFS 分區(qū)（推薦用這種）的話，還需要對 NTFS 分區(qū)上的這個目錄設(shè)置相應(yīng)權(quán)限，許多地方都介紹設(shè)置 everyone 的權(quán)限，實際上這是不好的，其實只要設(shè)置好 Internet 來賓帳號（IUSR_xxxxxxx）或 IIS_WPG 組的帳號權(quán)限就可以了。如果是設(shè)置 ASP、PHP 程序的目錄權(quán)限，那么設(shè)置 Internet 來賓帳號的權(quán)限，而對于 ASP.NET 程序，則需要設(shè)置 IIS_WPG 組的帳號權(quán)限。在后面提到 NTFS 權(quán)限設(shè)置時會明確指出，沒有明確指出的都是指設(shè)置 IIS 屬性面板上的權(quán)限。

例1 —— ASP、PHP、ASP.NET 程序所在目錄的權(quán)限設(shè)置：
如果這些程序是要執(zhí)行的，那么需要設(shè)置“讀取”權(quán)限，并且設(shè)置執(zhí)行權(quán)限為“純腳本”。不要設(shè)置“寫入”和“腳本資源訪問”，更不要設(shè)置執(zhí)行權(quán)限為“純腳本和可執(zhí)行程序”。NTFS 權(quán)限中不要給 IIS_WPG 用戶組和 Internet 來賓帳號設(shè)置寫和修改權(quán)限。如果有一些特殊的配置文件（而且配置文件本身也是 ASP、PHP 程序），則需要給這些特定的文件配置 NTFS 權(quán)限中的 Internet 來賓帳號（ASP.NET 程序是 IIS_WPG 組）的寫權(quán)限，而不要配置 IIS 屬性面板中的“寫入”權(quán)限。
站長必看的網(wǎng)站 www.admin5.com

IIS 面板中的“寫入”權(quán)限實際上是對 HTTP PUT 指令的處理，對于普通網(wǎng)站，一般情況下這個權(quán)限是不打開的。

IIS 面板中的“腳本資源訪問”不是指可以執(zhí)行腳本的權(quán)限，而是指可以訪問源代碼的權(quán)限，如果同時又打開“寫入”權(quán)限的話，那么就非常危險了。

執(zhí)行權(quán)限中“純腳本和可執(zhí)行程序”權(quán)限可以執(zhí)行任意程序，包括 exe 可執(zhí)行程序，如果目錄同時有“寫入”權(quán)限的話，那么就很容易被人上傳并執(zhí)行木馬程序了。

對于 ASP.NET 程序的目錄，許多人喜歡在文件系統(tǒng)中設(shè)置成 Web 共享，實際上這是沒有必要的。只需要在 IIS 中保證該目錄為一個應(yīng)用程序即可。如果所在目錄在 IIS 中不是一個應(yīng)用程序目錄，只需要在其屬性->目錄面板中應(yīng)用程序設(shè)置部分點創(chuàng)建就可以了。Web 共享會給其更多權(quán)限，可能會造成不安全因素。

劍心總結(jié):也就是說一般不要打開-主目錄-(寫入),(腳本資源訪問) 這兩項以及不要選上(純腳本和可執(zhí)行程序),選(純腳本)就可以了.需要asp.net的應(yīng)用程序的如果應(yīng)用程序目錄不止應(yīng)用程序一個程序的可以在應(yīng)用程序文件夾上(屬性)-目錄-點創(chuàng)建就可以了.不要在文件夾上選web共享.

例2 —— 上傳目錄的權(quán)限設(shè)置：
用戶的網(wǎng)站上可能會設(shè)置一個或幾個目錄允許上傳文件，上傳的方式一般是通過 ASP、PHP、ASP.NET 等程序來完成。這時需要注意，一定要將上傳目錄的執(zhí)行權(quán)限設(shè)為“無”，這樣即使上傳了 ASP、PHP 等腳本程序或者 exe 程序，也不會在用戶瀏覽器里就觸發(fā)執(zhí)行。 網(wǎng)站精華 top.admin5.com

同樣，如果不需要用戶用 PUT 指令上傳，那么不要打開該上傳目錄的“寫入”權(quán)限。而應(yīng)該設(shè)置 NTFS 權(quán)限中的 Internet 來賓帳號（ASP.NET 程序的上傳目錄是 IIS_WPG 組）的寫權(quán)限。

如果下載時，是通過程序讀取文件內(nèi)容然后再轉(zhuǎn)發(fā)給用戶的話，那么連“讀取”權(quán)限也不要設(shè)置。這樣可以保證用戶上傳的文件只能被程序中已授權(quán)的用戶所下載。而不是知道文件存放目錄的用戶所下載。“瀏覽”權(quán)限也不要打開，除非你就是希望用戶可以瀏覽你的上傳目錄，并可以選擇自己想要下載的東西。

劍心總結(jié):一般的一些asp.php等程序都有一個上傳目錄.比如論壇.他們繼承了上面的屬性可以運行腳本的.我們應(yīng)該將這些目錄從新設(shè)置一下屬性.將(純腳本)改成(無).

例3 —— Access 數(shù)據(jù)庫所在目錄的權(quán)限設(shè)置：
許多 IIS 用戶常常采用將 Access 數(shù)據(jù)庫改名（改為 asp 或者 aspx 后綴等）或者放在發(fā)布目錄之外的方法來避免瀏覽者下載它們的 Access 數(shù)據(jù)庫。而實際上，這是不必要的。其實只需要將 Access 所在目錄（或者該文件）的“讀取”、“寫入”權(quán)限都去掉就可以防止被人下載或篡改了。你不必?fù)?dān)心這樣你的程序會無法讀取和寫入你的 Access 數(shù)據(jù)庫。你的程序需要的是 NTFS 上 Internet 來賓帳號或 IIS_WPG 組帳號的權(quán)限，你只要將這些用戶的權(quán)限設(shè)置為可讀可寫就完全可以保證你的程序能夠正確運行了。
站長網(wǎng) www.admin5.com
劍心總結(jié):Internet 來賓帳號或 IIS_WPG 組帳號的權(quán)限可讀可寫.那么Access所在目錄（或者該文件）的“讀取”、“寫入”權(quán)限都去掉就可以防止被人下載或篡改了

例4 —— 其它目錄的權(quán)限設(shè)置：
你的網(wǎng)站下可能還有純圖片目錄、純 html 模版目錄、純客戶端 js 文件目錄或者樣式表目錄等，這些目錄只需要設(shè)置“讀取”權(quán)限即可，執(zhí)行權(quán)限設(shè)成“無”即可。其它權(quán)限一概不需要設(shè)置。

好了，我想上面的幾個例子已經(jīng)包含了大部分情況下的權(quán)限設(shè)置，其它情況根據(jù)這些例子，我想你一定可以想到該如何設(shè)置了吧