windows2003下提高fso的安全性---安全-为中国网络技术提供点滴动力-iyit.net-易特网络技术！

　　通行证: 用户密码

域名空间　下载中心　 社区论坛　信息公告 my小屋

联系我们
设为首页
加入收藏

qq,asp,php,jsp,xml,sql,.net,编程程序网页图象建站经验私服




	当前位置：首页>>操作系统>>windows2003>>正文	新版上线！[旧版]

注:打开慢时请稍等

windows2003下提高fso的安全性

http://www.iyit.net 日期：2006-5-14 10:34:51 来源：网络转载点击：

【参加讨论】asp提供了强大的文件系统访问能力，可以对服务器硬盘上的任何文件进行读、写、复制、删除、改名等操作，这给学校网站的安全带来巨大的威胁。现在很多校园主机都遭受过fso木马的侵扰。但是禁用fso组件后，引起的后果就是所有利用这个组件的asp程序将无法运行，无法满足客户的需求。如何既允许filesystemobject组件，又不影响服务器的安全性呢（即：不同虚拟主机用户之间不能使用该组件读写别人的文件）？以下是笔者多年来摸索出来的经验：

第一步是有别于windows 2000设置的关键：右击c盘，点击“共享与安全”，在出现在对话框中选择“安全”选项卡，将everyone、users组删除，删除后如果你的网站连asp程序都不能运行，请添加iis_wpg组（图1），并重启计算机。

　

经过这样设计后，fso木马就已经不能运行了。如果你要进行更安全级别的设置，请分别对各个磁盘分区进行如上设置，并为各个站点设置不同匿名访问用户。下面以实例来介绍（假设你的主机上e盘abc文件夹下设abc.com站点）：

1. 打开“计算机管理→本地用户和组→用户”，创建abc用户，并设置密码，并将“用户下次登录时须更改密码”前的对号去掉，选中“用户不能更改密码”和“密码永不过期”，并把用户设置为隶属于guests组。

2. 右击e:\abc，选择“属性→安全”选项卡，此时可以看到该文件夹的默认安全设置是“everyone”完全控制（视不同情况显示的内容不完全一样），删除everyone的完全控制（如果不能删除，请点击[高级]按钮，将“允许父项的继承权限传播”前面的对号去掉，并删除所有），添加administrators及abc用户对本网站目录的所有安全权限。

3. 打开iis管理器，右击abc.com主机名，在弹出的菜单中选择“属性→目录安全性”选项卡，点击身份验证和访问控制的[编辑]，弹出图2所示对话框，匿名访问用户默认的就是“iusr_机器名”，点击[浏览]，在“选择用户”对话框中找到前面创建的abc账户，确定后重复输入密码。

经过这样设置，访问网站的用户就以abc账户匿名身份访问e:\abc文件夹的站点，因为abc账户只对此文件夹有安全权限，所以他只能在本文件夹下使用fso。

常见问题：

如何解除fso上传程序小于200k限制？

先在服务里关闭iis admin service服务，找到windows＼system32＼inesrv目录下的metabase．xml并打开，找到aspmaxrequestentityallowed，将其修改为需要的值。默认为204800，即200k，把它修改为51200000（50m），然后重启iis admin service服务。

asp提供了强大的文件系统访问能力，可以对服务器硬盘上的任何文件进行读、写、复制、删除、改名等操作，这给学校网站的安全带来巨大的威胁。现在很多校园主机都遭受过fso木马的侵扰。但是禁用fso组件后，引起的后果就是所有利用这个组件的asp程序将无法运行，无法满足客户的需求。如何既允许filesystemobject组件，又不影响服务器的安全性呢（即：不同虚拟主机用户之间不能使用该组件读写别人的文件）？以下是笔者多年来摸索出来的经验：

第一步是有别于windows 2000设置的关键：右击c盘，点击“共享与安全”，在出现在对话框中选择“安全”选项卡，将everyone、users组删除，删除后如果你的网站连asp程序都不能运行，请添加iis_wpg组（图1），并重启计算机。

经过这样设计后，fso木马就已经不能运行了。如果你要进行更安全级别的设置，请分别对各个磁盘分区进行如上设置，并为各个站点设置不同匿名访问用户。下面以实例来介绍（假设你的主机上e盘abc文件夹下设abc.com站点）：

1. 打开“计算机管理→本地用户和组→用户”，创建abc用户，并设置密码，并将“用户下次登录时须更改密码”前的对号去掉，选中“用户不能更改密码”和“密码永不过期”，并把用户设置为隶属于guests组。

2. 右击e:\abc，选择“属性→安全”选项卡，此时可以看到该文件夹的默认安全设置是“everyone”完全控制（视不同情况显示的内容不完全一样），删除everyone的完全控制（如果不能删除，请点击[高级]按钮，将“允许父项的继承权限传播”前面的对号去掉，并删除所有），添加administrators及abc用户对本网站目录的所有安全权限。

3. 打开iis管理器，右击abc.com主机名，在弹出的菜单中选择“属性→目录安全性”选项卡，点击身份验证和访问控制的[编辑]，弹出图2所示对话框，匿名访问用户默认的就是“iusr_机器名”，点击[浏览]，在“选择用户”对话框中找到前面创建的abc账户，确定后重复输入密码。

经过这样设置，访问网站的用户就以abc账户匿名身份访问e:\abc文件夹的站点，因为abc账户只对此文件夹有安全权限，所以他只能在本文件夹下使用fso。

编辑：黑鹰　[发送给好友] [打印本页] [关闭窗口] [返回顶部]
上一篇：架设windows server 2003的安全堡垒
下一篇：强化 windows server 2003 iis服务器
转载请注明来源：www.iyit.net
特别声明： 本站除部分特别声明禁止转载的专稿外的其他文章可以自由转载，但请务必注明出处和原始作者。文章版权归文章原始作者所有。对于被本站转载文章的个人和网站，我们表示深深的谢意。如果本站转载的文章有版权问题请联系编辑人员，我们尽快予以更正。

　相关文章

如何组建高速又安全的文件服务器	win 2003中提高fso的安全性	win 2003如何应用组策略和安全模板
用2003内置icf构筑安全防线	win 2003中配置snmp服务的网络安全	windows 2003中ie安全区域的设置技巧
windows 2003中配置snmp服务的网络安全	用windows 2003内置icf构筑安全防线	四招加强windows 2003安全性
在windows 2003中安全释放内存	如何让windows 2003更加安全	win 2003中ie安全区域的设置技巧
活动目录的基本安全问题	如何以安全模式启动计算机	查看安全模式启动日志文件
打造安全的win 2003操作系统（下）	打造安全的windows 2003系统(上)	windows server 2003 安全最佳实践
架设windows server 2003的安全堡垒	全方位堵住windows 2003的安全隐患	windows 2003服务器安全配置终极技巧
win 2k：检测系统安全的清单	win2000的系统安全防范对策	安全卸载windows2000