揭秘：IIS网站服务器的安全隐患大盘点！ (iis网站服务器安全隐患)

IIS网站服务器是Windows操作系统上最常见的Web服务器，由于其使用广泛，其安全隐患也成为黑客攻击的重点。本文将揭示IIS网站服务器的安全隐患，包括以下几个方面：

一、未安装安全更新

IIS网站服务器的安全更新是修复安全漏洞最重要的措施，然而很多用户并没有及时安装更新，成为黑客攻击的最容易入口。因此，我们强烈建议所有IIS网站服务器用户及时安装最新的安全更新。

二、弱密码

IIS网站服务器的密码安全一般由IIS管理器控制，如果密码过于简单，那么黑客可以通过暴力破解手段来获得管理员权限。因此，建议您使用复杂的密码，如数字、字母、特殊符号的组合，或者利用密码管理工具生成更加复杂的密码。

三、过多的开放端口

IIS网站服务器的端口开放是服务外部用户访问网站的必要条件，但是如果过多的端口开放，就会增加安全隐患。黑客可以通过未授权的端口直接攻击IIS网站服务器，获取网站中的敏感信息。因此，建议您只开放必要的端口。

四、松散的文件权限

在IIS网站服务器上，很多文件和目录具有读写权限，如果文件权限过于松散，黑客可以通过攻击Web应用程序来篡改或删除文件。因此，需要定期检查文件权限，确保只有合法用户才能读取或写入文件。

五、开启不必要的功能模块

IIS网站服务器上安装了多个模块，如FastCGI、ASP.NET、URL Rewrite等，而有些模块在默认情况下是开启的，但是对于某些 Web 应用程序来说可能并不需要。如果这些不必要的模块继续开启，就会增加黑客攻击的几率。因此，建议您只开启必需的模块。

六、未启用日志记录

日志记录能够记录有关用户访问IIS网站服务器的详细信息，包括IP地址、时间、操作、错误信息等等。但是，如果未启用日志记录，管理人员就会失去监控和审查攻击的能力。因此，您必须启用IIS日志记录，并定期检查日志，以发现异常的活动。

七、不受信任的程序

在IIS网站服务器上运行的第三方程序中存在漏洞，黑客就可以通过攻击这些程序来进入系统，从而获取管理员权限。因此，建议您只使用受信任的程序，并对所有程序进行适当的安全保护。

IIS网站服务器安全是非常重要的，必须得到重视。本文介绍了IIS网站服务器的安全隐患，包括未安装安全更新、弱密码、过多的开放端口、松散的文件权限、开启不必要的功能模块、未启用日志记录和使用不受信任的程序。建议大家定期检查安全隐患，并及时做好防范。

相关问题拓展阅读：

• 如何对FTP、IIS服务器安全防护？
• 网站IIS每天23点00，准死卡死，重启后还是不行，一直持续到23点40左右恢复正常。网站系统win2023+IIS6+PHP

如何对FTP、IIS服务器安全防护？

1、系统盘权限设置

C:分区部分：吵迟卖

c:\

administrators 全部(该文件夹，子文件夹及文件)

CREATOR OWNER 全部(只有子文件来及文件)

system 全部(该文件夹，子文件夹及文件)

IIS_WPG 创建文件/写入数据(只有该文件夹)

IIS_WPG(该文件夹，子文件夹及文件)

遍历文件夹/运行文件

列出文件夹/读取数据

读取属性

创建文件夹/附加数据

读取权限

c:\Documents and Settings

administrators 全部(该文件夹，子文件夹及文件)

Power Users (该文件夹，子文件夹及文件)

读取和运行

列出文件夹目录

读取

SYSTEM全部(该文件夹，子文件夹及文件)

C:\Program Files

administrators 全部(该文件夹，子文件夹及文件)

CREATOR OWNER全部(只有子文件来及文件)

IIS_WPG (该文件夹，子文件夹及文件)

读取和运行

列出文件夹目录

读取

Power Users(该文件夹，子文件夹及文件)

修改权限

SYSTEM全部(该文件夹，子文件夹及文件)

TERMINAL SERVER USER (该文件夹，子文件夹及文件)

修改权限

2、网站及虚拟机权限设置(比如网站在E盘)

说明：我们假设网站全部在E盘wwwsite目录下，并且为每一个虚拟机创建了一个guest用户，用户名为vhost1…vhostn并且创建了一个webuser组，把所有的vhost用户全部加入这个webuser组里面方便管理

E:\

Administrators全部(该文件夹，子文件夹及文件)

E:\wwwsite

Administrators全部(该文件夹，子文件夹及文件)

system全部(该文件夹，子文件夹及文件)

service全部(该文件夹，子文件夹及文件)

E:\wwwsite\vhost1

Administrators全部(该文件夹，子文件夹及文件)

system全部(该文件夹，子文件夹及文件)

vhost1全部(该文件夹，子文件夹及文件)

3、数据备份盘

数据备份盘更好只指定一个特定的用户对它有完全操作的权限

比如F盘为数据备份盘，我们只指定一个管理员对它有完全操作的权限

4、其它地方的权限设置

请找到c盘的这些文件，把安全性设置只有特定的管理员有完全操作权限

下列这些文件只允许administrators访问

net.exe

net1.exet

cmd.exe

tftp.exe

netstat.exe

regedit.exe

at.exe

attrib.exe

cacls.exe

format.com

5.删除c:\inetpub目录，删除iis不必要的映射，建立陷阱帐号旦举，更改描述

第三招：禁用不必要的服务，提高安全性和系统效率

Computer Browser 维护网络上计算机的最新列表以及提供这个列表

　　Task scheduler 允许程序在指定时间运行

　　Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务

　　Removable storage 管理可移动媒体、驱动程序和库

　　Remote Registry Service 允许远程注册表操作

　　Print Spooler 将文件加载到内存中以便以后打印。要用打印机的朋友不能禁用这项

　　IPSEC Policy Agent 管理IP安全策略以及启动ISAKMP/OakleyIKE)和IP安全驱动程序

　　Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知

　　Com+ Event System 提供事件的自动发布到订阅COM组件

Alerter 通知选定的用升逗户和计算机管理警报

Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序

Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息

Telnet 允许远程用户登录到此计算机并运行程序

第四招:修改注册表，让系统更强壮

1、隐藏重要文件/目录可以修改注册表实现完全隐藏：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改为0

2、启动系统自带的Internet连接_blank”>防火墙，在设置服务选项中勾选Web服务器。

3、防止SYN洪水攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为SynAttackProtect，值为2

EnablePMTUDiscovery REG_DWORD 0

NoNameReleaseOnDemand REG_DWORD 1

EnableDeadGWDetect REG_DWORD 0

KeepAliveTime REG_DWORD 300,000

PerformRouterDiscovery REG_DWORD 0

EnableICMPRedirects REG_DWORD 0

4. 禁止响应ICMP路由通告报文

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface

新建DWORD值，名为PerformRouterDiscovery 值为0

5. 防止ICMP重定向报文的攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

将EnableICMPRedirects 值设为0

6. 不支持IGMP协议

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为IGMPLevel 值为0

7.修改终端服务端口

运行regedit，找到，看到右边的PortNumber了吗？在十进制状态下改成你想要的端口号吧，比如7126之类的，只要不与其它冲突即可。

2、第二处HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStations \ RDP-Tcp，方法同上，记得改的端口号和上面改的一样就行了。

8、禁止IPC空连接：

cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。打开注册表，找到Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 把这个值改成”1”即可。

9、更改TTL值

cracker可以根据ping回的TTL值来大致判断你的操作系统，如：

TTL=107(WINNT);

TTL=108(win2023);

TTL=127或128(win9x);

TTL=240或241(linux);

TTL=252(solaris);

TTL=240(Irix);

实际上你可以自己更改的：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦

10. 删除默认共享

有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，必须通过修改注册表的方式取消它：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters：AutoShareServer类型是REG_DWORD把值改为0即可

11. 禁止建立空连接

默认情况下，任何用户通过通过空连接连上服务器，进而枚举出帐号，猜测密码。我们可以通过修改注册表来禁止建立空连接：

Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值改成”1”即可。

第五招:其它安全手段

1.禁用TCP/IP上的NetBIOS

网上邻居-属性-本地连接-属性-Internet协议（TCP/IP）属性-高级-WINS面板-NetBIOS设置-禁用TCP/IP上的NetBIOS。这样cracker就无法用nbtstat命令来读取你的NetBIOS信息和网卡MAC地址了。

2. 账户安全

首先禁止一切账户，除了你自己，呵呵。然后把Administrator改名。我呢就顺手又建了个Administrator账户，不过是什么权限都没有的那种，然后打开记事本，一阵乱敲，复制，粘贴到“密码”里去，呵呵，来破密码吧~！破完了才发现是个低级账户，看你崩溃不？

创建2个管理员用帐号

虽然这点看上去和上面这点有些矛盾，但事实上是服从上面的规则的。 创建一个一般权限帐号用来收信以及处理一些*常事物，另一个拥有Administrators 权限的帐户只在需要的时候使用。可以让管理员使用 “ RunAS” 命令来执行一些需要特权才能作的一些工作，以方便管理

3.更改C:\WINDOWS\Help\iisHelp\common\404b.htm内容改为这样，出错了自动转到首页

4. 安全日志

我遇到过这样的情况，一台主机被别人入侵了，系统管理员请我去追查凶手，我登录进去一看：安全日志是空的，倒，请记住：Win2023的默认安装是不开任何安全审核的！那么请你到本地安全策略->审核策略中打开相应的审核，推荐的审核是：

账户管理 成功 失败

登录事件 成功 失败

对象访问 失败

策略更改 成功 失败

特权使用 失败

系统事件 成功 失败

目录服务访问 失败

账户登录事件 成功 失败

审核项目少的缺点是万一你想看发现没有记录那就一点都没辙；审核项目太多不仅会占用系统资源而且会导致你根本没空去看，这样就失去了审核的意义

5. 运行防毒软件

我见过的Win2023/Nt服务器从来没有见到有安装了防毒软件的，其实这一点非常重要。一些好的杀毒软件不仅能杀掉一些著名的病毒，还能查杀大量木马和后门程序。这样的话，“黑客”们使用的那些有名的木马就毫无用武之地了。不要忘了经常升级病毒库,我们推荐mcafree杀毒软件+blackice_blank”>防火墙

6.sqlserver数据库服务器安全和serv-u ftp服务器安全配置，更改默认端口，和管理密码

7.设置ip筛选、用blackice禁止木马常用端口

一般禁用以下端口

8.本地安全策略和组策略的设置,如果你在设置本地安全策略时设置错了，可以这样恢复成它的默认值.

打开 %SystemRoot%\Security文件夹,创建一个 “OldSecurity”子目录,将%SystemRoot%\Security下所有的.log文件移到这个新建的子文件夹中.

在%SystemRoot%\Security\database\下找到”Secedit.sdb”安全数据库并将其改名,如改为”Secedit.old”.

启动”安全配置和分析”MMC管理单元:”开始”->”运行”->”MMC”,启动管理控制台,”添加/删除管理单元”,将”安全配置和分析”管理单元添加上.

右击”安全配置和分析”->”打开数据库”,浏览”C:\WINNT\security\Database”文件夹,输入文件名”secedit.sdb”,单击”打开”.

当系统提示输入一个模板时,选择”Setup Security.inf”,单击”打开”.

如果系统提示”拒绝访问数据库”,不管他.

你会发现在”C:\WINNT\security\Database”子文件夹中重新生成了新的安全数据库,在”C:\WINNT\security”子文件夹下重新生成了log文件.安全数据库重建成功.

一 选择 一款 安全的iis 二 装防火墙 三 定期检测 网站宽和运行日慎凯盯子 和查看漏孙塌洞

www.aiixi.cn

先问下你IIS 和FTP服务器 挂到外网没有 用什么做域名解析的 花生壳还是别的什么…

最实用的办法是安装设置好防火墙，还有读写权限等等。网吧的情况比较复杂，一般情纯宏况下都会有病毒，如果拦雀你简裤早是网吧的主管，更好安装一下网站专用的防火墙，如卡巴斯基企业版等。

网站IIS每天23点00，准死卡死，重启后还是不行，一直持续到23点40左右恢复正常。网站系统win2023+IIS6+PHP

可能是遇到攻击，建议你在服务器上安装个“服务器安全狗”和“网站安全狗” 随时监控和防御攻击

三种可能

之一：你的服务器被攻击

第二：你服务器网段的某台服务器被攻击亩银

第三：你的服务迅咐宴器或者你网段的简春某台服务器可能有定时任务

可以换一银蔽野种组合：win2023+apache+php，或者：锋喊linux+apache+php，我感觉apache支持php比IIS容易并毁一些。

关于iis网站服务器安全隐患的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。