保护Web服务器的安全

当前位置：网学 > 编程文档 > C# > 正文

保护Web服务器的安全

来源：Http://myeducs.cn 联系QQ：

作者：用户投稿来源：网络发布时间： 12/10/14

例应用程序，包括只能从本地计算机通过 http://localhost 或者 http://127.0.0.1 访问的示例。

删除生产服务器的以下虚拟目录：iissamples、iisadmin、iishelp 和 Scripts。

注 IISLockdown 提供了一个选项，可以删除 Scripts、IISSamples、IISAdmin 和 IISHelp 虚拟目录。

删除或者保护 RDS

远程数据服务 (RDS) 是一个能够用来控制通过 IIS 从 Internet 访问远程数据资源的组件。RDS 界面是由 Msadcs.dll 提供的，它位于以下目录： program files\common files\system\Msadc。

删除 RDS

如果您的应用程序不使用 RDS，那就删除它。

要删除 RDS 支持

1.	从 IIS 删除 /MSADC 虚拟目录映射。
2.	删除以下位置的 RDS 文件和子目录：

\Program Files\Common Files\System\Msadc

1.	删除以下注册表项： HKLM\System\CurrentControlSet\Services\W3SVC\Parameters\ADCLaunch 注 IISLockdown 提供了一个选项，可以删除 MSADC 虚拟目录。请注意，IISLockdown 只删除虚拟目录，而不是文件或者注册表项。

保护 RDS

如果您的应用程序需要使用 RDS，那就对其进行保护。

要保护 RDS

1.	删除以下位置的示例：

\Progam Files\Common Files\System\Msadc\Samples

1.	删除以下注册表项： hklm\system\currentcontrolset\services\w3svc\parameters \adclaunch\vbbusobj.vbbusobjcls
2.	在 IIS 中禁用 MSADC 虚拟目录的匿名访问。
3.	在以下位置创建一个 handlerrequired 注册表项： HKLM\Software\Microsoft\DataFactory\HandlerInfo\
4.	创建一个新的 DWORD 值，将其设置为 1（1 表示安全模式，而 0 表示不安全的模式）。

注您可以使用注册表脚本文件 Handsafe.reg 更改注册表项。脚本文件位于 msadc 目录：

\Program Files\Common Files\System\msadc

有关保护 RDS 的更多信息，请参阅以下资料：

	ms99-025 Microsoft 安全项目：使用 RDS 通过 ODBC 数据访问对 IIS 服务器进行未授权访问，网址是：http://www.microsoft.com/technet/security/bulletin/ms99-025.asp。
	ms98-004 Microsoft 安全项目：Microsoft 安全公告：使用 RDS 和 IIS 的未授权 ODBC 数据访问，网址是：http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS98-004.asp。
	microsoft 知识库文章 184375，“PRB ： RDS 1.5、IIS 3.0 或者 4.0 和 ODBC 的安全问题”。

设置 Web 权限

web 权限是通过 IIS 管理单元进行配置的，它在 IIS 元数据库中进行维护。它们不是 NTFS 权限。

使用以下 Web 权限：

	读取权限。限制包含目录上的读取权限。
	写入和执行权限。限制允许匿名访问的虚拟目录的写入和执行权限。
	脚本源文件访问。配置脚本源文件访问权限只在允许内容创作的文件夹上。
	写入。只在允许内容创作的文件夹上配置写入权限。只为内容创作者授予写入访问权限。注支持内容创作的文件夹应该配置为要求身份验证和 SSL 加密。

删除或者保护 FrontPage 服务器扩展

如果您不使用 FrontPage 服务器扩展 (FPSE)，就禁用它。如果您使用 FPSE，应该采取以下步骤提高安全性：

	更新服务器扩展。请参阅 MSDN 文章“Microsoft FrontPage 服务器扩展 2002 for Windows”中讨论的安全问题，该文章的网址是：http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnservext/html/fpse02win.asp。
	使用 FrontPage 安全限制访问。FPSE 将安装这样的组，这些组被授予了对服务器扩展所配置的那些 Web 站点的访问权限。这些组用来根据用户角色限制可用的访问。有关更多信息，请参阅帮助中心，网址是：http://office.microsoft.com/assistance/2002/articles/fp_colmanagesecurity.aspx。