限制目录执行权限
在“处理程序映射”中,把“编辑功能权限”中的“脚本”去掉,这样即使上传了木马文件在此目录,也是无法执行的。
删除不必要的脚本映射
在“处理程序映射”中,从列表中删除以下不必要的脚本。
包括 .asa .cer .cdx .idq .htw .ida .shtml .stm .idc .htr .printer等。
删除的原则:只保留需要的脚本映射。
也可以自定义添加映射。
开启日志审计
默认情况下Web日志存放于系统目录" %SystemDrive%\inetpub\logs\LogFiles",将Wb日志文件放在非网站目录和非操作系统分区,并定期对Web日志进行异地备份。
关闭目录浏览
在“目录浏览”中,在最右边操作栏点击“禁用”,即可禁用目录浏览。
解决IIS短文件名漏洞
在“请求筛选”在“URL”中添加“拒绝序列”URL序列设置为【~】。
关闭WebDAV
选择一个站点,在功能视图中找到WebDAV创作规则,双击 WebDAV创作规则,选择禁用WebDAV。
停用或删除默认站点
IIS安装后的默认主目录是“C:\inetpub\wwwroot”,为更好地抵抗踩点、刺探等攻击行为,应该更改主目录位置,禁用默认站点,新建立站点并进行安全配置。
开始->管理工具->Internet 信息服务(IIS)管理器 选择相应的站点,然后右键站点,选择停止或者删除。
卸载不需要的IIS角色服务
通常下列角色可以删除:
“默认文档”,“目录浏览”,“CGI”,“在服务器端的包含文件”
身份验证设置
将不需要使用的身份验证方法设置为禁用。例如:如果站点未部署ASP.NET应用,则可以将“ASP.NET 模拟”设置为禁用。