3天搞定IIS网站目录权限设置：别让建站公司拖你一周，多少钱都值

改个需求建站公司拖一周，这是很多老板踩过的坑，尤其涉及到IIS网站目录权限设置这种技术活，一不小心搞错了，网站就可能被黑、数据泄露，后果严重。别再等出了问题才想起来问“多少钱能解决”，早做防护，省事又省钱。

IIS作为Windows服务器上常用的Web服务器，其目录权限设置是网站安全的基础。很多人以为只要装好系统就能运行网站，殊不知一个目录权限设置错误，就可能让黑客有机可乘。本文将从真实案例出发，一步步教你如何设置IIS目录权限，避免安全漏洞，同时控制成本，省时省力。

威胁场景：一个目录权限设置错误，导致网站被黑

在实际项目中，我们曾经接手过一个客户网站，部署在IIS服务器上，网站数据被非法篡改，甚至出现了用户信息泄露的情况。排查后发现，问题出在IIS目录权限设置上。具体来说，网站根目录“wwwroot”下的“uploads”文件夹，权限设置为“Everyone”可写，导致黑客通过上传恶意脚本成功入侵。

这种漏洞非常常见，尤其是对于刚上线的网站或使用开源系统的项目，很多开发人员在部署时忽略权限设置，认为“只要能访问就行”。实际上，这种做法极不安全，必须设置明确的用户权限，防止未授权的访问和文件操作。

IIS的目录权限设置直接影响网站的安全性。在IIS中，权限控制主要依赖于Windows系统的NTFS文件权限，而不是IIS自身的权限机制。这意味着，如果网站目录的权限被设置为“Everyone”可写，那么任何访问服务器的人，都可以通过上传脚本、修改配置、删除文件等方式，对网站进行攻击。

例如，一个常见攻击方式是通过上传一个Web Shell（如ASPX后门），并利用IIS执行该脚本，从而获取服务器控制权。如果“uploads”目录允许Everyone写入，攻击者就可以轻松完成这一过程。

因此，IIS网站目录权限设置的目的是：限制不必要的用户权限，确保只有授权用户才能访问或操作网站目录，避免未授权访问带来的风险。

IIS网站一般由一个特定的Windows账户运行，如“IIS_IUSRS”或自定义账户。这个账户需要具备访问网站目录的权限，但不能拥有“Everyone”权限。

在IIS管理器中，选择对应的网站，进入“高级设置”，查看“应用程序池标识”中使用的账户。通常情况下，如果使用的是“ApplicationPoolIdentity”，那么该账户会自动创建一个“ApplicationPoolIdentity”用户。

右键点击网站根目录（如“C:\inetpub\wwwroot”），选择“属性” > “安全”选项卡，然后设置以下权限：

注意：如果你的网站需要允许用户上传文件（如论坛、图床），那么必须单独设置一个上传目录，并为该目录设置“Everyone”可写权限，同时做好上传文件类型限制和文件过滤。

如果网站使用匿名访问（如没有登录功能），那么默认情况下，IIS会使用“Everyone”身份访问网站内容。这种配置下，如果目录权限设置不当，可能导致恶意用户上传恶意脚本。

建议做法：

虽然IIS的权限设置可以限制目录访问，但一些攻击者可能通过URL路径访问隐藏目录。这时候，可以借助URL重写模块（IIS URL Rewrite）设置规则，限制访问某些敏感目录。

例如，防止访问“admin”或“uploads”等敏感目录：

<rule name="Block Access to Uploads" stopProcessing="true"><match url="^uploads/.*" /><action type="AbortRequest" />
</rule>

这段代码将拦截所有访问“uploads”目录的请求，防止攻击者通过路径直接访问上传目录。

在IIS中，可以通过“请求限制”功能限制某些请求行为，如文件上传大小、请求方法等。

你可以通过命令行工具“icacls”来查看目录权限设置是否正确：

icacls "C:\inetpub\wwwroot"

该命令会显示该目录的访问权限列表，确保只有“IIS_IUSRS”或你使用的账户具有“读取和执行”权限，而“Everyone”没有写入权限。

除了手动检查，还可以使用安全扫描工具（如Nessus、OpenVAS、Nmap）扫描IIS服务器是否存在权限配置漏洞。

例如，使用Nmap扫描IIS服务器是否存在目录遍历漏洞：

nmap --script http-iis-webdav-vulnerability --script-args http-iis-webdav-vulnerability.uri=/ -p 80,443 target-ip

这条命令将扫描目标IP的80/443端口，检查是否存在IIS WebDAV漏洞。

如果扫描发现漏洞，应立即修复权限配置。修复步骤包括：

为了确保IIS网站的安全性，以下是一些关键的安全加固步骤，建议在部署或升级网站时完成：