問題背景

ASP網站需使用Scripting.FileSystemObject（FSO）進行文件讀寫，但FSO權限過大，若單一匿名帳號（IUSR_MACHINE）共享所有虛擬主機，一旦某站被植入ASP木馬，攻擊者可遍歷、修改、刪除全盤所有站點文件。

解決方案：每虛擬主機獨立匿名帳號 + NTFS ACL隔離

環境： Windows 2000 Server / Advanced Server + IIS 5.0

步驟1：建立專用匿名帳號組

1. 「計算機管理」→「本地用戶和組」→ 新建用戶：IUSR_0001 ~ IUSR_0050（對應50個虛擬主機）。
2. 密碼可為空（或按策略設置），從Users組移除，加入Guests組（或自建IIS_USERS組便於集中管理）。

步驟2：IIS站點綁定專用匿名帳號

1. IIS管理器 → 站點屬性 → 「目錄安全性」 → 「編輯」 → 「匿名訪問」編輯。
2. 選擇對應帳號（如IUSR_0001），勾選「允許IIS控制密碼」。
3. 建議站點描述改為Domain.com(IUSR_0001)，一目了然。

步驟3：磁盤與目錄NTFS ACL精細授權

• 所有分區移除Everyone「完全控制」（極度危險）。
• 站點根目錄ACL：
  Administrators: 完全控制
System: 完全控制（Serv-U FTP以System身份運行需此權限）
  IUSR_XXXX: 讀取（純HTML）
  IUSR_XXXX: 讀取+寫入（ASP+Access/MSSQL需寫入）
  IUSR_XXXX: 完全控制（ASP需FSO刪除/移動/重命名文件時）

步驟4：驗證隔離效果

在站點目錄放置Webshell，嘗試用FSO讀寫其他站點目錄 → 應提示「權限不足/路徑不存在」。完成所有站點同樣配置。

原理總結

利用Windows物件存取控制模型：不同匿名身份 + 目錄級ACL = 虛擬主機級強隔離。此為眾多虛擬主機管理系統（如早期星外、華夏等）底層實現邏輯的核心。

補充建議

• 禁用不必要的IIS擴展映射（.printer、.dav等）。
• 部署URLScan/UrlScan 2.5過濾惡意請求。
• 定期審計匿名帳號權限與目錄ACL，防止配置漂移。

作者：李泊林，資深系統工程師、專業網絡安全顧問，曾為多家大型ISP/企業提供整體安全方案。