服务器安全设置之 IIS用户设置方法

主机头

主机脚本

硬盘目录

IIS用户名

硬盘权限

应用程序池

主目录

应用程序配置

www.1.com

HTM

D:www.1.com

IUSR_1.com

Administrators(完全控制)
IUSR_1.com(读)

可共用

读取/纯脚本

启用父路径

www.2.com

ASP

D:www.2.com

IUSR_1.com

Administrators(完全控制)
IUSR_2.com(读/写)

可共用

读取/纯脚本

启用父路径

www.3.com

NET

D:www.3.com

IUSR_1.com

Administrators(完全控制)
IWAM_3.com(读/写)
IUSR_3.com(读/写)

独立池

读取/纯脚本

启用父路径

www.4.com

PHP

D:www.4.com

IUSR_1.com

Administrators(完全控制)
IWAM_4.com(读/写)
IUSR_4.com(读/写)

独立池

读取/纯脚本

启用父路径

其中 IWAM_3.com 和 IWAM_4.com 分别是各自独立应用程序池标识中的启动帐户

主机脚本类型

应用程序扩展名 （就是文件后缀名）对应主机脚本，只需要加载以下的应用程序扩展

HTM

STM | SHTM | SHTML | MDB

ASP

ASP | ASA | MDB

NET

ASPX | ASAX | ASCX| ASHX | ASMX | AXD | VSDISCO | REM | SOAP | ConFIG |
CS |CSPROJ | VB | VBPROJ | WEBINFO | LICX | RESX | RESOURCES | MDB

PHP

PHP | PHP3 | PHP4

应用程序扩展

映射文件

执行动作

STM=.stm

C:WINDOWSsystem32inetsrvssinc.dll

GET,POST

SHTM=.shtm

C:WINDOWSsystem32inetsrvssinc.dll

GET,POST

SHTML=.shtml

C:WINDOWSsystem32inetsrvssinc.dll

GET,POST

ASP=.asp

C:WINDOWSsystem32inetsrvasp.dll

GET,HEAD,POST,TRACE

ASA=.asa

C:WINDOWSsystem32inetsrvasp.dll

GET,HEAD,POST,TRACE

ASPX=.aspx

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

ASAX=.asax

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

ASCX=.ascx

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

ASHX=.ashx

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

ASMX=.asmx

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

AXD=.axd

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

VSDISCO=.vsdisco

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

REM=.rem

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

SOAP=.soap

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

ConFIG=.config

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

CS=.cs

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

CSPROJ=.csproj

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

VB=.vb

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

VBPROJ=.vbproj

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

WEBINFO=.webinfo

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

LICX=.licx

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

RESX=.resx

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

RESOURCES=.resources

C:WINDOWSMicrosoft.NETframeworkv1.1.4322aspnet_isapi.dll

GET,HEAD,POST,DEBUG

PHP=.php

C:php5php5isapi.dll

GET,HEAD,POST

PHP3=.php3

C:php5php5isapi.dll

GET,HEAD,POST

PHP4=.php4

C:php5php5isapi.dll

GET,HEAD,POST

MDB=.mdb

C:WINDOWSsystem32inetsrvssinc.dll

GET,POST

目录

所需权限

Temporary ASP.NET Files%windir%Microsoft.NETframework{版本}Temporary ASP.NET Files

进程帐户和模拟标识：
看下面详细权限

临时目录 (%temp%)

进程帐户
完全控制

.NET framework 目录%windir%Microsoft.NETframework{版本}

进程帐户和模拟标识：
读取和执行
列出文件夹内容
读取

.NET framework 配置目录%windir%Microsoft.NETframework{版本}ConFIG

进程帐户和模拟标识：
读取和执行
列出文件夹内容
读取

网站根目录
C:inetpubwwwroot
或默认网站指向的路径

进程帐户：
读取

系统根目录
%windir%system32

进程帐户：
读取

全局程序集高速缓存
%windir%assembly

进程帐户和模拟标识：
读取

内容目录
C:inetpubwwwrootYourWebApp
(一般来说不用默认目录，管理员可根据实际情况调整比如D:wwwroot)

进程帐户：
读取
列出文件夹内容
读取
注意 对于 .NET framework 1.0，直到文件系统根目录的所有父目录也都需要上述权限。父目录包括：
C:
C:inetpub
C:inetpubwwwroot

硬盘或文件夹: C:WINDOWSMicrosoft.NETframework版本Temporary ASP.NET Files

主要权限部分：

其他权限部分：

Administrators

完全控制

ASP.NET 计算机帐户

读取和运行

该文件夹，子文件夹及文件

该文件夹，子文件夹及文件

<继承于E:>

<继承于C:windows>

CREATOR OWNER

完全控制

ASP.NET 计算机帐户

写入/删除

只有子文件夹及文件

该文件夹，子文件夹及文件

<继承于E:>

<不是继承的>

SYSTEM

完全控制

IIS_WPG

读取和运行

该文件夹，子文件夹及文件

该文件夹，子文件夹及文件

<继承于E:>

<继承于C:windows>

IUSR_XXX
或某个虚拟主机用户组

列出文件夹/读取数据 ：拒绝

IIS_WPG

写入/删除

该文件夹，子文件夹及文件

该文件夹，子文件夹及文件

<不是继承的>

<不是继承的>

Guests

列出文件夹/读取数据 ：拒绝

LOCAL SERVICE

读取和运行

该文件夹，子文件夹及文件

该文件夹，子文件夹及文件

<不是继承的>

<继承于C:windows>

USERS

读取和运行

LOCAL SERVICE

写入/删除

该文件夹，子文件夹及文件

该文件夹，子文件夹及文件

<继承于C:windows>

<不是继承的>

NETWORK SERVICE

读取和运行

该文件夹，子文件夹及文件

<继承于C:windows>

NETWORK SERVICE

写入/删除

该文件夹，子文件夹及文件

<不是继承的>