FSO安全解決辦法正文內容： 1、本文設置方法與環境：實用於Microsoft WinNT/2000 Server /Advanced Server IIS5.0 2、確保IIS及各虛擬主機網站均正常運行，並且刪除了IIS中諸如.printer.dav之類不安全的應用程序擴展的映射（其它話題不在本文的討論范圍之類， 如果需要了解更多可見本人的另一篇《Microsoft Win 2000 IIS WEB服務器整體安全解決方案詳解》) 3、依次開啟----->開始------>程序----->管理工具------>計算機管理----->本地用戶與組，然後新建一些用戶（假設為:IUSR_0001到IUSR_0050，您的WEB SERVER上有50個虛擬主機的話，如果更多可以再新增一些用戶。目是就是采用不同的匿名用戶訪問機制，以保證您的服務器既可以完整的使用ASP 的FSO組件功能，又不會受到諸如ASP木馬的威脅）。這裡可以按自己適當的安全級別及實際要求決定是否設置密碼，其實為空也無大礙。 4、將剛才新建好的IUSR_0001至IUSR_0050去除User組的權限，統一將他們加到Guests組內。（因為Microsoft Windows默認新用戶自動為Users組內， 這裡一定注意不要忘了將IUSR_xxxx趕出Users組喲^_^）。如果為更好的安全著想，可再新增一個IIS_USERS組，同時將IUSR_XXXX全部加入這個組內，以便於在做其它系統安全設置時方便用到。 5、設置IIS｜依次開啟----->開始------>程序----->管理工具------>Internet 服務管理器----->打開IIS管理界面，然後將打開你的第一個虛擬主機的站點屬性，在出來的IIS對話界面中，點擊“目錄安全性”在“身份驗證和訪問控制”部分點擊“編輯”，然後在出現的“驗證方法”界面的“匿名訪問”部分再點擊“編輯”，將會出現匿名用戶帳號的界面，這時候你選擇“浏覽”然後把選擇在3步中新建的第一個Guests來賓用戶，即選中“IUSR_0001”，如果你新建用戶是密碼為空者為空，不為空者輸入此用戶的密碼即可。然後再選中下面的“允許IIS控制密碼”，接著點擊確定。 [另外注意：為了方便管理及後面設置目錄權限，網站描述最好和IUSR_XXXX進行對號，比如你上面的操作是對網站描述為Fineacer.com的網站，那麼您可以將網站描述換成:Fineacer.com(IUSR_0001）。這樣一目了然，更加方便管理。 6、磁盤權限：確保已經做好了C、D、E、F之類的磁盤的ACLs權限。（即將所有盤的Everyone"完全控制"權必須去掉，這個非常危險，只給其所必需的就成） 同時設置您的網站虛擬目錄的相應權限，即NTFS中的ACLs訪問權限。選擇到你網站所在的虛擬主機總目錄，將Everyone,訪問權限去掉。只加Administrators -完全控制、System-完全控制.（System是用於Serv-U之類FTP上傳下載所需用的權限，因為Serv-U是以System的身份啟動服務的）。然後再選擇你的IUSR_0001 假設這裡是Fineacer.com(IUSR_0001)網站的根目錄。再後再右鍵---->屬性------>安全,添加我們的IUSR_0001，並賦予讀取權限，如果是單HTML只給讀 取權限即可，如果是ASP ACESS數據庫類似的，同時還需要加上"寫入"權限。如果網站的ASP程序需要利用FSO進行網站內容的在線修改、刪除等操作的話，那麼一般我們將“完全控制”權給IUSR_XXXX。 7、好了，，第一個虛擬主機設置終於搞定^_^，我們放一個Webshell在網站目錄內，然後再浏覽 嘿嘿,試試，再用FSO 功能訪問其它網站目錄是不是就訪問不了了，更不用說編輯與刪除其它虛擬主機用戶的網頁文件了：）剩下來的工作就是重復步驟3、4、5、6、將所有站點都進行設置。具本人所知，部份虛擬主機管理系統就是利用這個原理，來進行的！只不過將這些步驟都寫到了虛擬主機的管理系統程序中罷了. 本文作者：李泊林/LeeBolin 資深系統工程師、專業網絡安全顧問。 已成功為國內多家大中型企業，ISP服務商提供了完整的網絡安全解決方案。尤其擅長於整體 網絡安全方案的設計、大型網絡工程的策劃、以及提供完整的各種服務器系列安全整體解決方案。
