IIS Web服务器易忽视的六大基本安全风险

一、不要使用缺省的WEB站点

在IIS Web服务器安装部署完成之后，系统会建立一个默认的Web站点。有些用户就会直接使用这个站点进行网站的开发。这是一个非常不理智的做法，可能会带来很大的安全隐患。因为很多攻击都是针对默认的Web站点所展开的。

如在默认的Web站点中，有一个inetpub文件夹。有些攻击者喜欢在这个文件夹中放置一些黑客工具，如窃取密码、Dos攻击等等。从而使得他们可以远程遥控这些工具，造成服务器的瘫痪。由于默认的站点与文件夹的相关配置信息基本上是相同的，这就方便了攻击者对服务器进行工具。连信息搜集这一个步骤都可以省了。一些通过IP地址与服务扫描的黑客工具，其使用的就是默认站点这个空子。

防范措施：

其实这一个风险还是很容易避免的。最简单的方法就是在建立网站的时候，不要使用这个默认的站点。而且需要将这个站点禁用掉。其实这个方法是一个最基本的安全措施。如在路由器等网络设备上，出于安全需要，也要求管理员禁用掉默认的用户名。这是同样的道理。然后也不要使用原有的文件夹。用户可以将真实的Web站点指向一个特定的位置。如果要进一步提高安全性的话，还可以对这个文件夹设置NTFS权限等措施。可见要预防这个安全风险是轻而易举的事情。但是现实中，可能用户就是觉得其小，而没有引起足够的重视。从而给攻击者有机可乘。

二、严格控制服务器的写访问权限

在一些内容比较多、结构比较复杂的Web服务器，往往多个用户都对服务器具有写入的权限。如sina网站，有专门人员负责新闻板块，有专门人员负责博客，有专门人员负责论坛等等。由于有众多的用户对网站服务器具有写入的权限，就可能会带来一定的安全隐患。如某个用户的密码泄露的话，就会乘机对服务器进行破坏。其实虽然他们都具有对服务器的写入权限，但是他们的分工是不同的。每个人都有自己的领域。

再如一个大学校园的校园网，一个Web服务器实际上可能拥有多个网站，多个管理员。如各个学院有自己的网站等等。此时管理员都有对服务器修改的权限。权限控制不严格的话，那么服务器上的文件夹就可能会处于非常危险的境地。

防范措施:

这个防范措施也比较简单，其基本的原理就是给与用户最小的权限。如可以根据网站板块的不同，将相关的内容放置到对应的文件夹中。然后每个特定的用户只能够访问自己负责内容的文件夹。如此的话，即使某个管理员用户的密码泄露了，那么其影响的也只是一个文件夹。而不会对其他用户的文件夹产生不利影响。

其次就是最好不要讲Web服务器同其他的应用服务放置在一起。特别对于企业来说，可能为了节省成本，喜欢将Web服务器与文件服务器等部署在同一个服务器上。这是一种非常危险的方式。因为对于文件服务器来说，可能每个用户都具有往服务器上写入的权限。而这就会给木马、病毒等提供机会。从而也会影响到Web服务器的安全。

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]