IIS所需要的最小NTFS权限

IIS所需要的最小NTFS权限

本文介绍了正常运行IIS所需要的最小NTFS权限,当IIS不能正常运行或者想严格限制权限的时候可以

参照此文,以下是操作的7个步骤。

1、选取整个硬盘:

System:完全控制

Administrator:完全控制
(允许将来自父系的可继承性权限传播给对象)

2/Program Files/Common Files

Everyone:读取及运行

列出文件目录

读取

(允许将来自父系的可继承性权限传播给对象)

3/Inetpub/wwwroot(可根据需要设计)

IUSR_MACHINE:读取及运行

列出文件目录

读取

(允许将来自父系的可继承性权限传播给对象)

4/Winnt/system32

选中 InetsrvCertsrv (如果存在)和 Com 之外的其他所有文件夹,去除允许将来自父系的可继承性权限传播给对象选框,复制。

5/Winnt

选中以下文件夹之外的其他所有文件夹:Assembly(如果有)、Downloaded Program FilesHelpIIS Temporary Compressed FilesMicrosoft.NET(如果有)、Offline Web PagesSystem32TasksTemp Web。,去除允许将来自父系的可继承性权限传播给对象选框,复制。

6/Winnt

Everyone:读取及运行

列出文件目录

读取

(允许将来自父系的可继承性权限传播给对象)

7/Winnt/Temp:(允许访问数据库并显示在ASP页面上)

Everyone
(允许将来自父系的可继承性权限传播给对象)

9./program files/servu/ 只给system admin 所有权限

10.webeasymail everyone 所有权限,否则不好

11/Winnt/system32/intesvr/ 这个目录下不要给EVERYONE的写入权限

12. cmd.exe net.exe

13. php.ini display_errors 设为OFF

这样,你就拥有了一个权限严格而又可以正常运行的IIS系统了。

补充:禁止web anonymous组对cmd.exe等的访问

更多信息

虽然每个系统管理员可以根据各自的需求设置权限,但最好使用 Everyone 组,而不要只使用 IUSR_MACHINE 帐户。实际上,如果只为 IUSR_MACHINE 帐户添加权限,ASP ASP.NET 将无法运行。如果使用 Everyone 组,当 Web 点对匿名用户和经过身份验证的用户都有高、中或低的保护级别设置时,ASP 能够正常运行。

另外,如果只需要匿名访问,管理员可以创建 InternetGuests 本地组,然后将 IUSR_MACHINEIWAM_MACHINE ASPNET 添加到该组,将 Everyone 组替换为 InternetGuests 组。不过,Everyone 组包括 Users 组(对于经过身份验证的 Web 用户)、IUSR_MACHINE 帐户(对于匿名 HTM 访问)、IWAM_MACHINE 帐户(对于匿名 ASP 功能)以及 ASPNET(对于 ASP.NET 功能)。

IIS 5.0 使用两个单独的帐户执行 Web 页。使用匿名身份验证时,IIS 使用 IUSR_MACHINE 帐户查看 Web 页。不过,IWAM_MACHINE 用于启动一个单独的进程,该进程称为 Dllhost.exe,所有 Active Server Pages (ASP)、组件对象模型 (COM) 组件或其他 ISAPI 扩展(ASP 被视为 ISAPI 扩展)都在该进程内运行。这样做的目的主要是保持稳定。如果从 ASP 页调用的自定义 COM 组件崩溃(也即,导致访问冲突,从而致使进程停止),它不会影响到 Inetinfo.exe,因此 Web 服务将继续运行。

IIS 5.0 中的三个保护级别如下:

低(IIS 进程):该设置与 IIS 4.0 下的默认设置类似。所有 Web 页,不论是 HTM 还是 ASP,都在 Inetinfo.exe 进程内运行。

中等(池):这是默认设置。与 IIS 4.0 相同,该设置启动称为 Dllhost.exe 的单独进程,所有 ASP COM 组件都在该进程内运行。该进程由 IWAM_MACHINE 帐户启动,这也与 IIS 4.0 相同。另外,该设置也称为池,因为在 IIS 中运行的所有 Web 站点都在执行 ASP 页时共享这一个 Dllhost.exe 进程。请注意, Dllhost.exe 替换 Mtx.exe

高(独立):该设置为每个 Web 站点或应用程序启动专用 Dllhost.exe 进程。如果有 5 Web 站点,每个站点的保护级别都设为"",总共将有六个 Dllhost.exe 进程:五个 Dllhost.exe 进程和一个附加 Dllhost.exe 进程,该附加进程由 COM+ 在系统应用程序下启动

阅读更多
想对作者说点什么? 我来说一句

没有更多推荐了,返回首页

关闭
关闭
关闭