IIS安全设置实战指南，全面加固Web服务器 抵御常见攻击
《IIS安全设置实战指南》聚焦IIS Web服务器的安全防护，以实战配置为核心，从多维度提出系统性加固方案，旨在帮助用户有效抵御针对IIS的常见攻击，指南内容注重实操性，为服务器管理者梳理清晰的安全设置步骤，助力快速搭建可靠的IIS安全防线，降低Web服务被入侵风险，保障服务稳定运行，是提升IIS服务器防护能力的实用参考资料。
在Windows Server环境中，IIS（Internet Information Services）是使用最广泛的Web服务器之一，承载着无数企业网站、应用系统和API服务，但随着网络攻击的日益频繁，若IIS安全配置不当，很容易成为黑客入侵的突破口——从目录遍历、SQL注入到SSL漏洞,风险无处不在。
本文将从基础加固、权限控制、攻击防御、加密传输等维度，系统讲解IIS的安全设置方法,帮助你构建一道稳固的Web防线。
减少攻击面：IIS组件与服务的最小化安装
安全的第一步是“做减法”——只安装必要的组件，禁用不用的服务,从源头缩小攻击范围。
-
按需安装IIS组件
默认安装IIS时会包含大量非必需组件（如FTP服务、WebDAV、ASP经典版等），若不用请务必取消勾选，操作步骤：- 打开「服务器管理器」→「添加角色和功能」→ 到「Web服务器角色(IIS)」步骤，只保留：静态内容、默认文档、HTTP错误、HTTP日志、请求筛选、静态内容压缩等核心组件；
- 若需运行ASP.NET，再勾选对应的.NET框架版本,避免冗余。
-
禁用不必要的服务
- 若不用FTP，停止并禁用「Microsoft FTP Service」；
- 若不用WebDAV（用于远程文件编辑），在IIS管理器的「模块」中移除「WebDAVModule」，或直接在「角色服务」中卸载WebDAV；
- 关闭「Internet Printing Service」等与Web无关的系统服务。
严格权限控制：身份验证与访问权限配置
权限是IIS安全的核心，需通过“身份验证+NTFS权限+IIS权限”三重防护,防止越权访问。
-
合理配置身份验证
- 禁用默认的「匿名身份验证」（若无需公开访问），改用「Windows身份验证」（适合企业内网）或「表单身份验证」（适合公网应用）；
- 若必须开启匿名访问，将匿名用户身份设置为「应用程序池标识」（而非IUSR），便于精细化控制权限，操作：IIS管理器→网站→「身份验证」→ 匿名身份验证→「编辑」→ 选择「应用程序池标识」。
-
收紧NTFS文件夹权限
- 网站根目录（如
C:\inetpub\wwwroot）的NTFS权限：删除「Everyone」，只保留：- SYSTEM：完全控制；
- Administrators：完全控制；
- 应用程序池标识（如
IIS AppPool\DefaultAppPool）：仅「读取 & 执行、列出文件夹内容、读取」；
- 上传文件夹（若有）：给应用程序池标识「写入」权限，但禁止执行权限（在IIS管理器→该文件夹→「处理程序映射」→「编辑功能权限」→ 取消勾选「脚本」）。
- 网站根目录（如
-
限制IIS权限
在IIS管理器→网站→「权限」中，确保未给普通用户「写入」「修改」权限,与NTFS权限保持一致。
抵御恶意请求：请求筛选与URL重写
利用IIS的请求筛选功能，可拦截常见的攻击请求，如目录遍历、危险HTTP动词等。
-
配置请求筛选规则
- 限制请求大小：IIS管理器→网站→「请求筛选」→「编辑功能设置」→ 设置「最大允许内容长度」（如10MB，根据业务调整）；
- 过滤危险字符：在「URL」选项卡中，添加拒绝序列如（防止目录遍历）、
%2e%2e/（编码后的目录遍历）； - 禁用危险HTTP动词：在「HTTP动词」选项卡中，选择「允许未列出的动词」为「否」，仅添加
GET、POST等必需动词，禁用PUT、DELETE、TRACE等。
-
隐藏真实路径（URL重写）
安装「URL重写模块」（微软官方下载），将动态URL（如/product.aspx?id=123）重写为静态化路径（如/product/123），既提升SEO,又减少真实脚本路径泄露。
加密传输：SSL/TLS安全配置
HTTPS已是Web标配，需正确配置SSL/TLS,防止数据窃听和中间人攻击。
-
部署可信SSL证书
申请CA机构签发的证书（如Let’s Encrypt免费证书、DigiCert付费证书），在IIS管理器→网站→「绑定」→ 添加https类型绑定,选择证书并设置端口443。 -
禁用不安全的协议与加密套件
- 禁用SSL 3.0、TLS 1.0、TLS 1.1（仅保留TLS 1.2及以上）；
- 启用强加密套件（如
TLS_AES_256_GCM_SHA384），禁用弱套件（如DES、3DES）。
小技巧：可使用微软官方工具「IIS Crypto」一键配置安全的TLS策略，无需手动修改注册表。
-
强制HTTPS访问
通过URL重写添加规则：将所有HTTP请求301重定向到HTTPS,确保用户始终通过加密通道访问。
监控与溯源：开启详细日志
日志是发现攻击、追溯问题的关键,需配置IIS记录足够详细的信息。
-
启用并配置IIS日志
- IIS管理器→网站→「日志」→ 选择「W3C扩展日志文件格式」；
- 点击「选择字段」，勾选：日期、时间、客户端IP、用户名、方法、URI资源、URI查询、HTTP状态、子状态、Win32状态、时间花费；
- 设置日志存储路径（建议非系统盘），并配置日志滚动策略（如按天滚动，保留30天）。
-
定期检查日志
重点关注HTTP状态码403（权限拒绝）、404（资源不存在，可能是扫描）、500（服务器错误，可能是攻击尝试），以及异常的客户端IP（如频繁扫描的IP）。
持续加固：定期更新与补丁
微软会定期发布IIS和Windows Server的安全补丁,及时更新是修复漏洞的最直接方式。
- 开启Windows Update自动更新，或在企业环境中使用WSUS（Windows Server Update Services）统一管理补丁；
- 关注微软安全公告（MSRC），若有IIS相关的高危漏洞（如CVE编号的漏洞）,优先安装补丁。
实战案例：防御目录遍历攻击
假设攻击者尝试访问http://yourdomain.com/../web.config来获取配置文件：
- 打开IIS管理器→网站→「请求筛选」→「URL」选项卡；
- 点击「添加拒绝序列」，输入，点击确定；
- 再次尝试访问该URL，IIS会直接返回404错误,攻击被拦截。
安全是持续的过程
IIS安全设置不是“一劳永逸”的工作，而是需要持续监控、定期调整的过程，除了上述配置，还建议结合Web应用防火墙（WAF）、服务器入侵检测系统（IDS）等工具,形成多层防御体系。
通过最小化安装、严格权限控制、加密传输和定期维护，你可以将IIS服务器的安全风险降到最低,保障Web业务的稳定运行。
