简单的WEB安全设置总结

服务器方面
1、首先是要NTFS格式，并减少user之类用户的权限，FAT32格式的磁盘没有权限设置，也就没有安全可言
2、其次是补丁要全，否则服务器中了木马，那什么都是白搭
3、接着是禁用危险的组建和服务项，这个比较难，如果是简单的应用还好说，如果服务器里跑着比较纠结的程序，很可能就会因为禁止了某些组件或服务导致无法运行，我对这个是比较的，所以做安全还是有必要知道应用所涉及到的权限以及其他方面
4、端口屏蔽，比如普通的WEB服务器开个21和80以及3389就够了
5、加密传输，这个防止嗅探的，不过WIN好像没自带
6、密码安全、桌面锁定软件、命令函数更名等其他小的设置，就和安全意识有关了，作用不会太大，但是比没有要好

IIS安全
1、执行权限这个很重要，不同的站点用不同的匿名用户访问，但是这些用户不能给权限，连组都不用加，而且这写单独访客的权限只在对应的WEB目录有效，其他盘都无效，Everyone之类的大权限统统删掉…而且大部分目录不给写入权，用户权限是WEB安全重要的一块
2、取消掉没用的API扩展，搞黑的都知道asp传不了就用asa或者cer格式的木马，安全也一样，没用的API扩展统统去掉，比如asp的站点只留一个.asp的，其他扩展删掉，你传了后门也没用
3、取消不必要的WEB扩展，扩展多了漏洞也就多，能少用还是少用吧

权限类
1、站点单独用户权，防止跨站，IIS那说过了，其实这个可以再IIS设置，也可以再硬盘设置，本质都一样，就是NTFS格式的权限设置，而且权限多给到读取写入，不可能再多了
2、目录与文件的权限设置，图片目录这样的，给个读取权就可以了，而且脚本都可以禁掉，没哪个图片是可执行的吧….文件也一样，HTML的目录和文件，脚本权可以禁掉，普通页面给个读取权就可以了，写入权这玩意很危险，能少给就少给，但是弄错了网站会崩
3、特殊目录的权限，像D盘E盘这样的，删了Everyone就连子目录的也一并删了，但是例如system这样的目录，没有继承权，你删了C盘的某用户，很多子目录里还是有的，要一个一个删，否则就会出现像入侵时候遇到的情况：C盘无法访问，但是用户文件夹和windows目录可以访问

：027-87867257      
Q Q：737337900（龙老师）
网络安全技术 www.s***.cn
地址：湖北省洪山区雄楚大道珞狮路449号狮城名居2栋1单元904室