web安全设置(含IIS,php,ASP.NET)与目录权限设置
2011-10-21 22:49
706 查看
这些天搞网站入侵,其中碰到了星外(STAROUT)虚拟主机系统,了解它的安全性,也碰到了一些管理员低级错误。既然老搞别人的站,那也来总结一下如何自己弄一个安全的站吧。
先说下原则:
1.web一定要用一个guests组里面的用户(USERS权限还是高了。默认IUSER_XXXX用户权限高了)。
2.web目录单独设置权限,php目录单独设置权限(PHP.EXe目录)3.各盘一定要删除USERS组、everyone、network services用户的访问权限4.如果是多个网站,注意分别建立账号,保证不能跨站访问。
================================具体操作:
1.建立一个web账号如IIS_WEB,并加入GUESTs组中,同时去掉其他组权限(在计算机管理的用户与组里面很好设置)。
2.去掉各盘的USERS组、everyone、network services权限。
3.设置users对php的读取权限(这儿不是web的那个账号了!不然403.1拒绝访问php)。
4.设置web账号如IIS_WEB对web目录的读取权限5.如果是mdb或者支持上传的,那单独设置这些目录的web账号如IIS_WEB写入权限。
6.如果是asp.NET,那么要对web目录加入IIS_WPG的访问权限。
==============================以上方法借鉴了星外系统的安全性设置,同时根据入侵中找到的脆弱点吸取教训。
注意:以上如果设置不好,可能会出现401.3拒绝访问哟。
请按照步骤设置
先说下原则:
1.web一定要用一个guests组里面的用户(USERS权限还是高了。默认IUSER_XXXX用户权限高了)。
2.web目录单独设置权限,php目录单独设置权限(PHP.EXe目录)3.各盘一定要删除USERS组、everyone、network services用户的访问权限4.如果是多个网站,注意分别建立账号,保证不能跨站访问。
================================具体操作:
1.建立一个web账号如IIS_WEB,并加入GUESTs组中,同时去掉其他组权限(在计算机管理的用户与组里面很好设置)。
2.去掉各盘的USERS组、everyone、network services权限。
3.设置users对php的读取权限(这儿不是web的那个账号了!不然403.1拒绝访问php)。
4.设置web账号如IIS_WEB对web目录的读取权限5.如果是mdb或者支持上传的,那单独设置这些目录的web账号如IIS_WEB写入权限。
6.如果是asp.NET,那么要对web目录加入IIS_WPG的访问权限。
==============================以上方法借鉴了星外系统的安全性设置,同时根据入侵中找到的脆弱点吸取教训。
注意:以上如果设置不好,可能会出现401.3拒绝访问哟。
请按照步骤设置
相关文章推荐
- win2003服务器中IIS的ASP.NET安全权限设置(转)
- asp.net网站iis与目录权限设置
- IIS中ASP.NET虚拟目录不继承主站点web.config设置的办法(转载)
- ASP.NET在使用Access数据库的IIS和目录权限设置
- asp.net 删除文件夹,指定文件夹,删除文件夹和所有文件,删除权限设置,递归删除文件夹目录及文件
- [转]asp.net中虚拟目录不继承主目录的web.config设置
- Linux下Web目录和文件安全权限设置
- IIS服务器asp.net 网站文件夹权限设置
- C# asp.net IIS 在web.config和IIS中设置Session过期时间
- Linux下Web目录和文件安全权限设置
- ASP.NET操作Word的IIS权限设置
- Asp.net实现IIS控制管理---Web虚拟目录的创建及管理(转)
- asp.net 删除文件夹,指定文件夹,删除文件夹和所有文件,删除权限设置,递归删除文件夹目录及文件
- C# asp.net IIS 在web.config和IIS中设置Session过期时间
- IIS 之 Web 服务器上的 ASP.NET 进程模型设置
- ASP.NET的IIS权限设置和故障排查
- Linux系统Web网站目录和文件安全权限设置
- Windows下PHP+MySQL+IIS安全平台:设置权限
- iis7 发布mvc3 遇到的HTTP错误 403.14-Forbidden Web 服务器被配置为不列出此目录的内容及Login on failed for "IIS APPPOOL\ASP.NET
- IIS、SQL Server和ASP.NET安全设置解决方案