中国移动FTP服务器安全配置手册.docx

密 级：
文档编号：
项目代号：

中国移动企业FTP服务器
安全配置手册

Version 1.0

中国移动通信有限公司
二零零四年十一月

拟 制:

审 核:

批 准:

会 签:

标准化:

版本控制

版本号
日期
参与人员
更新说明

分发控制

编号
读者
文档权限
与文档的主要关系
1

创建、修改、读取
负责编制、修改、审核
2

批准
负责本文档的批准程序
3

标准化审核
作为本项目的标准化负责人，负责对本文档进行标准化审核
4

读取

5

读取

目 录
1 FTP安全问题 5
1.1 FTP概述 5
1.2 FTP的包过滤（Packet Filtering）方式 5
1.3 匿名FTP服务 6
1.4 FTP代理服务器 6
1.5 FTP的安全问题 7
1.5.1 FTP安全缺陷 7
1.5.2 FTP易受的攻击 7
2 IIS 5.0 FTP服务器的安全配置 8
2.1 Windows 2000及IIS 5.0的安全配置 8
2.1.1 Windows 2000安全配置 8
2.1.2 IIS的安全配置 12
2.2 IIS 5.0 FTP服务器的安全配置 15
2.2.1 取消匿名访问功能 16
2.2.2 启用日志记录 16
2.2.3 正确设置用户访问权限 17
2.2.4 启用磁盘配额 17
2.2.5 TCP/IP访问限制 19
2.2.6 合理设置组策略 19
3 IIS 6.0 FTP安全配置 21
3.1 概述 21
3.2 系统服务 21
3.3 安全设置 22
3.3.1 仅安装必要的 IIS 组件 22
3.3.2 仅启用必要的 Web 服务扩展 22
3.3.3 在专用磁盘卷中放置内容 23
3.3.4 设置 NTFS 权限 24
3.3.5 设置 IIS Web 站点权限 25
3.3.6 配置 IIS 日志 26
3.3.7 保护众所周知帐户的安全 27
3.3.8 保护服务帐户的安全 28
3.3.9 用 IPSec 过滤器阻断端口 28
3.4 IIS 6.0 安全加强最佳实践 30
3.4.1 通用最佳安全实践 30
3.4.2 IIS最佳安全实践 30
4 Wu-FTP的安全配置 31
4.1 禁止匿名登录 32
4.2 新增用户 33
4.3 让用户只能访问自身的home目录 33
4.4. 不能存取 shell 34
4.5 确定wu-ftpd是否存在SITE EXEC安全漏洞 34
5 安全检查列表 35

1 FTP安全问题
1.1 FTP概述
　　FTP（File Transfer Protocol）即文件传输协议，用来从一台机器传送文件到另一台机器上。可以使用FTP来传送任何类型的文件，包括二进制文件、图形文件、ASCII文本文件、PostScript打印文件、音频及视频文件等。有两种类型的FTP访问，即有名和匿名FTP。有名FTP要求用户在服务器上有帐号，当他登录时他可以拥有他应该拥有的一切资源。匿名FTP是为了那些在服务器上没有帐号的人提供的，主要是用来使用户访问一些公用资源。
1.2 FTP的包过滤（Packet Filtering）方式
包过滤即是只基于TCP/IP包的检测。FTP使用两个独立的TCP连接：一个在服务器和客户程序之间传递命令和结果（通常称为命令通道）；另一个用来传送真实的文件和目录列表（通常称为数据通道）。在服务器上，命令通道使用众所周知的端口号21，数据通道为端口号20。客户程序则在命令和数据通道上分别使用大于1023的端口（根据TCP/IP协议，端口对应于INTERNET应用层，不同的应用层客户程序有其缺省的端口号，如FTP为20、21，HTTP为80）。
在开始一个FTP的连接时，客户程序首先为自己分配两个大于1023的TCP端口，它使用第一个端口作为命令通道端口与服务器连接，然后发出PORT命令（通常是PORT C，C，C，C，F，F，其中C，C，C，C为客户端IP地址，F，F为第二个端口号），告诉服务器它的第二个作为数据通道的端口号，这样服务器就能打开数据通道了。
大多数FTP服务器（特别是那些用在INTERNET上的主要匿名FTP站点）和许多FTP客户程序都支持一种客户程序打开命令通道和数据通道来连接到FTP服务器的修改方式，这种方式被称之为"反向方式"或"PASV方式"。
在使用反向方式时，一个FTP客户程序需要分配两个TCP端口供其使用。第一步同正常方式，但客户程序通过PASV命令代替原来PORT命令来告诉服务器客户程序的第二个TCP端口。这样就能使服务器为本身的数据通道分配第二个TCP端口，并通知客户程序所分配的那个端口号。这时，客户程序就从它的数据通道的端口连接到服务器刚才通知它的那个端口上。
通过FTP包过滤方式的分析可以知道，一个TCP连接可以从防火墙外部实现，即一个外部FTP服务器会接通一个到内部的客户程序的数据通道的连接，来响应从内部的客户程序发出的命令通道连接。正是这种方式，一方面可以允许客户程序通过FTP代理服务器连接其他FTP服务器，另一方面也给网络带来了不安全性。
1.3 匿名FTP服务
匿名服务（AnonymousService）的登录名用"anonymous",而口令通常可用用户的E－mail代替。正是这种服务方式方便了用户，但也不可避免地带来了问题，如客户登录后，往往能够获得一个可写目录（通常是/incoming），这样客户就可以通过PUT上载一个甚至是多个TXT文件，来达到其攻击该FTP服务器或其他FTP服务器的目的，虽然许多FTP服务器都限制匿名用户的权限，如执行权，而许多FTP服务器同HTTP服务器同装在一台机器上，那么匿名用户完全可以利用该可写目录运行命令调用HTTP服务器执行。
1.4 FTP代理服务器
通过FTP代理服务器连接到匿名服务器，而不是直接同其连接，主要基于两种原由：其一，无法直接连接，如防火墙的存在；其二，出于不被匿名服务器知晓其IP地址，或者基于ATTACK，或者基于匿名服务器限制客户登录（通过限制IP地址范围）。
所以对于防火墙内的客户来说，它必须首先运行FTP命令并通过作为主机的防火墙连接，连接完成后，必须说明用户名和连接的地点，在认证该地点确实允许之后，代理就与远程系统上的FTP服务器建立连接，用用户提供的用户名开始登录。然后远程服务器提示用户输入口令，如果口令正确则连接被允许。对于非防火墙内用户，它可以通过任意代理服务器来连接其目的服务器，并达到隐藏其地址的目的。因对于目标服务器而言，其知道的仅仅是代理服务器的地址。
1.5 FTP的安全问题
1.5.1 FTP安全缺陷
1.5.1.1 用户欺骗
FTP使用标准的用户名／口令的认证方法。这就使服务器不能可靠地确定一个用户是否他所声称的那个人。
1.5.1.2 明文传输
默认情况下，口令以明文方式传输。这就使攻击者通过电子窃听获得口令。FTP会话没有加密因此没有隐蔽性。
1.5.2 FTP易受的攻击
1.5.2.1 FTP的跳"（bounce）"攻击
FTP"跳"攻击的目标是配置为拒绝来自指定IP地址（或IP地址掩码）连接的主机。通常一个入侵者的IP地址正好在限制区域，因此他不能访问FTP服务器的目录。为了克服这种限制，入侵者使用另一台机器来访问目标机器。
为了实现这种方法，入侵者向中介FTP目录写一个文件，该文件包含有连接到目标机器并获得一些文件的命令。当该中介连接目标主机时，使用它自己的地址（而不是入侵者的地址）。因此，目标主机信任该连接请求并返回要求的文件。
1.5.2.2 文件许可权限错误
权限错误就是攻击者发现目标主机上错误的文件和目录权限获得特权甚至根用户访问权来达到入侵的目的。
1.5.2.3 SITE EXEC漏洞
SITE EXEC漏洞就是在早期的wu-ftpd版本允许远程用户通过向21端口发起telnet会话获得shell。为了检查有没有该漏洞，启动一个与21端口的telnet对话并发出命令SITE EXEC。如果获得shell，就存在该漏洞。
2 IIS 5.0 FTP服务器的安全配置
2.1 Windows 2000及IIS 5.0的安全配置
2.1.1 Windows 2000安全配置
2.1.1.1 基本要求
l 确保所有磁盘分区为NTFS分区
l 操作系统、Web主目录、日志分别安装在不同的分区
l 不要安装不需要的协议，比如IPX/SPX, NetBIOS
l 不要安装其它任何操作系统
l 安装Service Pack 4
l 安装最新的hotfix
具体可参考微软网站：
2.1.1.2 Windows 服务设置
l 关闭所有不需要的服务
* Alerter (disable)
* ClipBook Server (disable)
* Computer Browser (disable)
* DHCP Client (disable)
* Directory Replicator (disable)
* FTP publishing service (disable)
* License Logging Service (disable)
* Messenger (disable)
* Netlogon (disable)
* Network DDE (disable)
* Network DDE DSDM (disable)
* Network Monitor (disable)
* Plug and Play (disable after all hardware configuration)
* Remote Access Server (disable)
* Remote Procedure Call (RPC) locater (disable)
* Schedule (disable)
* Server (disable)
* Simple Services (disable)
* Spooler (disable)
* TCP/IP Netbios Helper (disable)
* Telephone Service (disable)
l 在必要时禁止如下服务
* SNMP service (optional)
* SNMP trap (optional)
* UPS (optional
l 设置如下服务为自动启动
* Eventlog ( required )
* NT LM Security Provider (required)
* RPC service (required)
* WWW (required)
* Workstation (leave service on: will be disabled later in the document)
* MSDTC (required)
* Protected Storage (required)
2.1.1.3 删除 OS/2 和 POSIX 子系统:
l 删除如下目录的任何键：
HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\OS/2 Subsystem for NT
l 删除如下的键：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\Environment\Os2LibPath
l 删除如下的键：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\SubSystems\Optional
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\SubSystems\Posix
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\SubSystems\OS2
l 删除如下目录：
c:\winnt\system32\os2
2.1.1.4 帐号和密码策略
l 保证禁止guest帐号
l 将administrator改名为比较难猜的帐号
l 密码唯一性：记录上次的 6 个密码
l 最短密码期限：2
l 密码最长期限：42
l 最短密码长度：8
l 密码复杂化(passfilt.dll)：启用
l 用户必须登录方能更改密码：启用
l 帐号失败登录锁定的门限：6
l 锁定后重新启用的时间间隔：720分钟
2.1.1.5 保护文件和目录
将C:\winnt, C:\winnt\config, C:\winnt\system32, C:\winnt\system等目录的访问权限做限制，限制everyone的写权限，限制users组的读写权限
2.1.1.6 注册表一些条目的修改
l 去除logon对话框中的shutdown按钮
将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\Current Version\Winlogon 中ShutdownWithoutLogon值设为0
l 去除logon信息的cashing功能
将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon\中CachedLogonsCount值设为0
l 隐藏上次登陆的用户名
将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon\中DontDisplayLastUserName值设为1
l 限制LSA匿名访问
将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA中RestricAnonymous值设为1
l 去除所有网络共享
将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters中AutoShareServer值设为0
2.1.1.7 启用TCP/IP过滤
只允许TCP端口80和443（如果使用SSL），不允许UDP端口，只允许IP Protocol 6 (TCP)。
2.1.1.8 移动部分重要文件并加访问控制
创建一个只有系统管理员能够访问的目录，将system32目录下的一些重要文件移动到此目录：
xcopy.exe, wscript.exe, cscript.exe, net.exe, ftp.exe, telnet.exe,arp.exe,
edlin.exe,ping.exe,route.exe,at.exe,finger.exe,posix.exe,rsh.exe,atsvc.exe,
qbasic.exe,runonce.exe,syskey.exe,cacls.exe, ipconfig.exe, rcp.exe,
secfixup.exe, nbtstat.exe, rdisk.exe, debug.exe, regedt32.exe, regedit.exe,
, netstat.exe, tracert.exe, nslookup.exe, rexec.exe, cmd.exe
2.1.1.9 安装防病毒软件
2.1.1.10 使用Hisecweb.inf安全模板来配置
该模板配置基本的 Windows 2000 系统安全策略。
l 将该模板复制到 %windir%\security\templates 目录。
l 打开“安全模板”工具，查看这些设置。
l 打开“安全配置和分析”工具，然后装载该模板。
l 右键单击“安全配置和分析”工具，然后从上下文菜单中选择“立即分析计算机”。
l 等候操作完成。
l 查看结果，如有必要就更新该模板。
l 右键单击“安全配置和分析”工具，然后从上下文菜单中选择“立即配置计算机”。
2.1.2 IIS的安全配置
2.1.2.1 关闭并删除默认站点：
l 默认FTP站点
l 默认Web站点
l 管理Web站点
2.1.2.2 建立自己的站点
与系统不在一个分区，如D:\wwwroot3。建立 E:\Logfiles目录，以后建立站点时的日志文件均位于此目录，确保此目录上的访问控制权限是： Administrators（完全控制）System（完全控制）。
2.1.2.3 删除IIS的部分目录
l IISHelp C:\winnt\help\iishelp
l IISAdmin C:\system32\inetsrv\iisadmin
l MSADC C:\Program Files\Common Files\System\msadc\
l 删除C:\inetpub
2.1.2.4 删除不必要的IIS映射和扩展
IIS 被预先配置为支持常用的文件名扩展如 .asp 和 .shtm 文件。IIS 接收到这些类型 的文件请求时，该调用由 DLL 处理。如果您不使用其中的某些扩展或功能，则应删除该映射，步骤如下：
l 打开 Internet 服务管理器：
l 选择计算机名，点鼠标右键，选择属性：
l 然后选择编辑
l 然后选择主目录， 点击配置
l 选择扩展名 \".htw\", \".htr\",\".idc\",\".ida\",\".idq\"和\".printer\"，点击删除
l 如果不使用server side include，则删除\".shtm\" \".stm\" 和 \".shtml\"
2.1.2.5 禁用父路径 :
“父路径”选项允许您在对诸如 MapPath 函数调用中使用“..”。在默认情况下，该选项处于启用状态，应该禁用它。
禁用该选项的步骤如下：
l 右键单击该 Web 站点的根，然后从上下文菜单中选择“属性”。
l 单击“主目录”选项卡。
l 单击“配置”。
l 单击“应用程序选项”选项卡。
l 取消选择“启用父路径”复选框。
2.1.2.6 在虚拟目录上设置访问控制权限
主页使用的文件按照文件类型应使用不同的访问控制列表：
l CGI (.exe, .dll, .cmd, .pl)
l Everyone (X)
l Administrators（完全控制）
l System（完全控制）
l 脚本文件 (.asp)
l Everyone (X)
l Administrators（完全控制）
l System（完全控制）
l include 文件 (.inc, .shtm, .shtml)
l Everyone (X)
l Administrators（完全控制）
l System（完全控制）
l 静态内容 (.txt, .gif, .jpg, .html)
l Everyone (R)
l Administrators（完全控制）
l System（完全控制）
在创建Web站点时，没有必要在每个文件上设置访问控制权限，应该为每个文件类型创建一个新目录，然后在每个目录上设置访问控制权限、允许访问控制权限传给各个文件。
例如，目录结构可为以下形式：
l D:\wwwroot\myserver\static (.html)
l D:\wwwroot\myserver\include (.inc)
l D:\wwwroot\myserver \script (.asp)
l D:\wwwroot\myserver \executable (.dll)
l D:\wwwroot\myserver \images (.gif, .jpeg)
2.1.2.7 启用日志记录
确定服务器是否被攻击时，日志记录是极其重要的。应使用 W3C 扩展日志记录格式，步骤如下：
l 打开 Internet 服务管理器：
l 右键单击站点，然后从上下文菜单中选择“属性”。
l 单击“Web 站点”选项卡。
l 选中“启用日志记录”复选框。
l 从“活动日志格式”下拉列表中选择“W3C 扩展日志文件格式”。
l 单击“属性”。
l 单击“扩展属性”选项卡，然后设置以下属性：
n 客户 IP 地址
n 用户名
n 方法
n URI 资源
n HTTP 状态
n Win32 状态
n 用户代理
n 服务器 IP 地址
n 服务器端口
2.2 IIS 5.0 FTP服务器的安全配置
使用IIS5.0架设的FTP服务器的默认设置其实存在很多安全隐患，很容易成为黑客们的攻击目标。为了加强IIS FTP服务器的安全性，需要做一些设置。
2.2.1 取消匿名访问功能
默认情况下，Windows 2000系统的FTP服务器是允许匿名访问的，虽然匿名访问为用户上传、下载文件提供方便，但却存在极大的安全隐患。用户不需要申请合法的账号，就能访问FTP服务器，甚至还可以上传、下载文件，特别对于一些存储重要资料的FTP服务器，很容易出现泄密的情况，因此应该取消匿名访问功能。
取消匿名访问功能的方法是：右键点击“默认FTP站点”项，在右键菜单中选择“属性”，接着弹出默认FTP站点属性对话框，切换到“安全账号”标签页，取消“允许匿名连接”前的勾选（如图2-1），最后点击“确定”按钮，这样用户就不能使用匿名账号访问FTP服务器了，必须拥有合法账号。

　　图2-1 禁止匿名访问
2.2.2 启用日志记录
FTP服务器日志记录着所有用户的访问信息，如访问时间、客户机IP地址、使用的登录账号等，这些信息对于FTP服务器的稳定运行具有很重要的意义，一旦服务器出现问题，就可以查看FTP日志，找到故障所在，及时排除。因此一定要启用FTP日志记录。
启用日志记录的方法是：在FTP站点属性对话框中，切换到“FTP站点”标签页，确保“启用日志记录”选项被选中。
2.2.3 正确设置用户访问权限
每个FTP用户账号都具有一定的访问权限，但对用户权限的不合理设置，也能导致FTP服务器出现安全隐患。如服务器中的DOC文件夹，只允许DOCUSER账号对它有读、写、修改、列表的权限，禁止其他用户访问，但系统默认设置，还是允许其他用户对DOC文件夹有读和列表的权限，因此必须重新设置该文件夹的用户访问权限。
设置方法是：右键点击DOC文件夹，在弹出菜单中选择“属性”，然后切换到“安全”标签页，首先删除Everyone用户账号，接着点击“添加”按钮，将DOCUSER账号添加到名称列表框中，然后在“权限”列表框中选中修改、读取及运行、列出文件夹目录、读取和写入选项，最后点击“确定”按钮。
2.2.4 启用磁盘配额
FTP服务器磁盘空间资源是宝贵的，因此要对每位FTP用户使用的磁盘空间进行限制。下面以DOCUSER用户为例，将其限制为只能使用100M磁盘空间。
在资源管理器窗口中，右键点击DOC文件夹所在的硬盘盘符，在弹出的菜单中选择“属性”，接着切换到“配额”标签页（如图2-2），选中“启用配额管理”复选框，激活“配额”标签页中的所有配额设置选项，为了不让某些FTP用户占用过多的服务器磁盘空间，一定要选中“拒绝将磁盘空间给超过配额限制的用户”复选框。

　　图2-2 限制FTP存储空间
然后在“为该卷上的新用户选择默认配额限制”框中选择“将磁盘空间限制为”单选项，接着在后面的栏中输入100，磁盘容量单位选择为“MB”，然后进行警告等级设置，在“将警告等级设置为”栏中输入“96”， 容量单位也选择为“MB”，这样就完成了默认配额设置。此外，还要选中“用户超出配额限制时记录事件”和“用户超过警告等级时记录事件”复选框，以便将配额告警事件记录到Windows日志中。
点击配额标签页下方的“配额项”按钮，打开磁盘配额项目对话框，接着点击“配额→新建配额项”，弹出选择用户对话框，选中DOCUSER用户后，点击“确定”按钮，接着在“添加新配额项”对话框中为DOCUSER用户设置配额参数，选择“将磁盘空间限制为” 单选项，在后面的栏中输入“100”，接着在“将警告等级设置为”栏中输入“96”，它们的磁盘容量单位为“MB”，最后点击“确定”按钮，完成磁盘配额设置，这样DOCUSER用户就只能使用100 MB磁盘空间，超过96MB就会发出警告。
2.2.5 TCP/IP访问限制
为了保证FTP服务器的安全，可以拒绝某些IP地址的访问。在默认FTP站点属性对话框中，切换到“目录安全性”标签页，选中“授权访问”单选项（如图2-3），然后在“以下所列除外”框中点击“添加”按钮，弹出“拒绝以下访问”对话框，这里可以拒绝单个IP地址或一组IP地址访问，以单个IP地址为例，选中“单机”选项，然后在“IP地址”栏中输入该机器的IP地址，最后点击“确定”按钮。这样添加到列表中的IP地址都不能访问FTP服务器了。

　　图2-3 阻止该IP访问FTP
2.2.6 合理设置组策略
通过对组策略项目的修改，也可以增强FTP服务器的安全性。在Windows 2000系统中，进入到“控制面板→管理工具”，运行本地安全策略工具。
2.2.6.1 审核账户登录事件
在本地安全设置窗口中，依次展开“安全设置→本地策略→审核策略”，然后在右侧的框体中找到“审核账户登录事件”项目（如图2-4），双击打开该项目，在设置对话框中选中“成功”和“失败”这两项，最后点击“确定”按钮。该策略生效后，FTP用户的每次登录都会被记录到日志中。

　　图2-4 记录用户登录信息
2.2.6.2 增强账号密码的复杂性
一些FTP账号的密码设置的过于简单，很容易被破解。为了提高FTP服务器的安全性，必须强制用户设置复杂的账号密码。
在本地安全设置窗口中，依次展开“安全设置→账户策略→密码策略”，在右侧框体中找到“密码必须符合复杂性要求”项，双击打开后，选中“已启用”单选项，最后点击“确定”按钮。
然后，打开“密码长度最小值”项，为FTP账号密码设置最短字符限制。
2.2.6.3 账号登录限制
对FTP服务器的一种攻击方式是使用黑客工具，反复登录FTP服务器，来猜测账号密码。因此应该对账号登录次数进行限制。
依次展开“安全设置→账户策略→账户锁定策略”，在右侧框体中找到“账户锁定阈值”项，双击打开后，设置账号登录的最大次数，如果超过此数值，账号会被自动锁定。接着打开“账户锁定时间”项，设置FTP账号被锁定的时间，账号一旦被锁定，超过这个时间值，才能重新使用。
3 IIS 6.0 FTP安全配置
3.1 概述
Windows Server 2003 IIS 服务器的安全设置模板来自“Windows Server 2003 Security Guide”，其网址为：

为了在抵制恶意用户和攻击者的过程中占据主动，默认情况下，IIS 不安装在 Windows Server 2003 系列产品上。IIS 最初以高度安全的“锁定”模式中安装。例如，默认情况下，IIS 最初仅提供静态内容。诸如 Active Server Pages (ASP)、ASP.NET、服务器端包括 (SSI)、Web Distributed Authoring and Versioning (WebDAV) 发布及 Microsoft FrontPage® Server Extensions 等功能仅在管理员启用它们后才起作用。可以通过 Internet 信息服务管理器（IIS 管理器）中的 Web 服务扩展节点启用这些功能和服务。
IIS 管理器具有图形化的用户界面 (GUI)，可用来方便地对 IIS 进行管理。它包括用于文件和目录管理的资源，能够对应用程序池进行配置，并且具有安全性、性能、以及可靠性方面的诸多特性。
接下来的部分详细介绍了各种安全性强化设置，执行这些设置可增强 Intranet 中存放 HTML 内容的 IIS 服务器的安全性。但是，为确保 IIS 服务器始终处于安全状态，还应执行安全监控、检测和响应等步骤。
3.2 系统服务
为了让 IIS 向 Windows Server 2003 中添加 Web 服务器功能，则必须启用以下三种服务。确保这些服务被配置为自动启动。
l HTTP SSL
如果 HTTP SSL 服务停止，IIS 将无法执行 SSL 功能。禁用此服务将导致任何明确依赖它的服务都无法实现。
l IIS Admin 服务
“IIS Admin 服务”允许对 IIS 组件进行管理，例如文件传输协议 (FTP)、应用程序池、Web 站点、Web 服务扩展，以及网络新闻传输协议 (NNTP) 和简单邮件传输协议 (SMTP) 的虚拟服务器。
“IIS Admin 服务”必须运行，以便让 IIS 服务器能够提供 Web、FTP、NNTP 以及 SMTP 服务。如果禁用此服务，则无法配置 IIS，并且对站点服务的请求将不会成功。
l 万维网发布服务
“万维网发布服务”通过 IIS 管理单元提供网络连通性和网站管理。
“万维网发布服务”必须运行，以便让 IIS 服务器通过 IIS 管理器提供网络连通性和管理。
3.3 安全设置
安装 Windows Server 2003 和 IIS 之后，默认情况下，IIS 仅传输静态 Web 内容。当 Web 站点和应用程序包含动态内容，或者需要一个或多个附加 IIS 组件时，每个附加 IIS 功能必须逐一单独启用。但是，在该过程中必须谨慎，以确保将每个 IIS 服务器的受攻击面降至最小。如果Web 站点只包含静态内容而无需其它任何 IIS 组件，这时，默认的 IIS 配置足以将您的环境中的 IIS 服务器的受攻击面降至最小。
3.3.1 仅安装必要的 IIS 组件
除“万维网发布服务”之外，IIS6.0 还包括其它的组件和服务，例如 FTP 和 SMTP 服务。通过双击“控制面板”上的“添加/删除程序”来启动 Windows 组件向导应用程序服务器，以安装和启用 IIS 组件和服务。安装 IIS 之后，必须启用 Web 站点和应用程序所需的所有必要的 IIS 组件和服务。
应该仅启用 Web 站点和应用程序所需的必要 IIS 组件和服务。启用不必要的组件和服务会增加 IIS 服务器的受攻击面。
3.3.2 仅启用必要的 Web 服务扩展
许多运行于 IIS 服务器上的网站和应用程序具有超出静态页面范畴的扩展功能，包括生成动态内容的能力。通过 IIS 服务器提供的功能来产生或扩展的任何动态内容，都是通过使用 Web 服务扩展来实现的。
IIS 6.0 中增强的安全功能允许用户单独启用或禁用 Web 服务扩展。在一次新的安装之后，IIS 服务器将只传输静态内容。可通过 IIS 管理器中的 Web 服务扩展节点来启用动态内容功能。这些扩展包括 ASP.NET、SSI、WebDAV 和 FrontPage Server Extensions。
启用所有的 Web 服务扩展可确保与现有应用软件的最大可能的兼容性。但是，这可能带来一些安全性风险，因为当所有的扩展被启用时，同时也启用了您的环境下 IIS 服务器所不需要的功能，这样 IIS 的受攻击面就会增加。
为了尽可能减少 IIS 服务器的受攻击面，只应该在 IIS 服务器上启用必要的的 Web 服务扩展。
3.3.3 在专用磁盘卷中放置内容
IIS 会将默认 Web 站点的文件存储到 <systemroot>\inetpub\wwwroot，其中 <systemroot> 是安装 Windows Server 2003 操作系统的驱动器。
应该将构成 Web 站点和应用程序的所有文件和文件夹放置到 IIS 服务器的专用磁盘卷中。将这些文件和文件夹放置到 IIS 服务器的一个专用磁盘卷 — 不包含操作系统的磁盘卷 — 有助于防止目录遍历攻击。目录遍历攻击是指攻击者对位于 IIS 服务器目录结构之外的一个文件发送请求。
例如，cmd.exe 位于于 <systemroot>\System32 文件夹中。攻击者可能请求访问以下位置：
..\..\Windows\system\cmd.exe，企图调用命令提示
如果 Web 站点内容位于一个单独的磁盘卷上，这种类型的目录遍历攻击将无法成功，原因有二。首先，cmd.exe 的权限已经作为 Windows Server 2003 基础结构的一部分进行了重设，从而将对它的访问限制在很有限的用户群中。其次，完成该更改之后，cmd.exe 不再与 Web 根目录处于同一磁盘卷，而目前没有任何已知的方法可通过使用这种攻击来访问位于不同驱动器上的命令。
除了安全性考虑之外，将站点和应用程序文件和文件夹放置在一个专用的磁盘卷中使诸如备份和恢复这样的管理任务变得更加容易。而且，将这种类型的内容放在一个分开的专用物理驱动器中有助于减少系统分区中的磁盘争用现象，并且改善磁盘的整体访问性能。
3.3.4 设置 NTFS 权限
Windows Server 2003 将检查 NTFS 文件系统的权限,以确定用户或进程对特定文件或文件夹具有的访问权限类型。
应该分配相应的 NTFS 权限，允许或拒绝特定用户对 IIS 服务器上站点的访问。
NTFS 访问权限应当与 Web 访问权限协同使用，而不是取代 Web 权限。NTFS 权限只影响那些已经被允许或被拒绝访问站点和应用程序内容的帐户。Web 权限则影响所有访问站点或应用程序的用户。如果站点权限与 NTFS 权限在某个文件夹或目录上发生冲突，限制性更强的设置将生效。
对于不允许匿名访问的站点和应用程序，匿名帐户访问将被明确拒绝。当没有经过身份验证的用户访问系统资源时，就是匿名访问。匿名帐户包括内置“Guest”帐户、“Guests”组和“IIS Anonymous”帐户。此外，除了 IIS 管理员之外，对其它任何用户都应该清除所有的写权限。
下表提供了关于 NTFS 权限的一些建议，这些权限将应用于 IIS 服务器上不同的文件类型。不同的文件类型可以被组织在不同的文件夹中，以简化应用 NTFS 权限的过程。
表 3-1：NTFS 权限
文件类型
建议的 NTFS 权限
CGI 文件（.exe、.dll、.cmd、.pl）
Everyone（执行）
Administrators（完全控制）
System（完全控制）
脚本文件 (.asp)
Everyone（执行）
Administrators（完全控制）
System（完全控制）
包含文件（.inc、.shtm、.shtml）
Ever