透過 NTFS 權限隔離虛擬主機使用者，允許 FSO 運作又不洩露他人檔案

關鍵第一步：移除 C 槽 Everyone/Users 權限，加入 IIS_WPG

1. 右鍵 C 槽 → 「共用與安全性 → 安全性」索引標籤。
2. 移除 Everyone、Users 群組。
3. 若網站 ASP 程式無法執行，新增 IIS_WPG 群組給予「讀取與執行」、「列出資料夾內容」、「讀取」權限。
4. 重開機生效。此舉已能阻擋多數 FSO 木馬。

進階：為每個虛擬主機建立專屬匿名帳戶並鎖定目錄權限

假設站點 Abc.com 位於 E:\Abc：

1. 建立專用帳戶： compmgmt.msc → 「本機使用者和群組 → 使用者」新增 Abc，設定密碼，取消「下次登入必須變更密碼」，勾選「使用者無法變更密碼」「密碼永遠不會過期」，隸屬 Guests 群組。
2. 設定目錄 NTFS 權限： 右鍵 E:\Abc → 「安全性」→ 移除 Everyone（若無法移除，進「進階」取消「允許繼承自父代的權限」並移除所有），新增 Administrators 與 Abc 給予「完全控制」。
3. IIS 綁定匿名帳戶： IIS 管理員 → 右鍵 Abc.com → 「內容 → 目錄安全性 → 編輯」→ 匿名存取使用者按「瀏覽」選取剛建立的 Abc 帳戶，輸入密碼確認。

如此設定後，網站訪客以 Abc 身分存取，僅能在 E:\Abc 目錄下使用 FSO，無法越界讀寫其他站點檔案。

常見問題：解除 FSO 上傳 200KB 限制

1. 停止 IIS Admin Service 服務。
2. 編輯 C:\Windows\System32\Inetsrv\Metabase.xml，找到 AspMaxRequestEntityAllowed，預設 204800 (200KB)，改為 51200000 (50MB)。
3. 重新啟動 IIS Admin Service 服務。