014-IIS信息安全培训.pdfVIP

主讲：Gnosis

第1页8/6/20181:16PM©2015谷安天下版权所有

IIS服务器的安全设置

IIS服务器常见漏洞

第2页8/6/20181:16PM©2015谷安天下版权所有

IIs是InternetInformationServices的缩写，意为互联网信息服务，它的

功能是提供信息服务，如架设http、ftp服务器等,是由微软公司提供的基于运行

MicrosoftWindows的互联网基本服务

第3页8/6/20181:16PM©2015谷安天下版权所有

了解身份验证功能，能够对访问用户进行控制

了解利用账号控制web目录的访问权限，防止跨目录访问

了解为每个站点设置单独的应用程序池和单独的用户的方法

了解取消上传目录的可执行脚本的权限的方法

第4页8/6/20181:16PM©2015谷安天下版权所有

IIS的身份验证概述

匿名身份验证

基本身份验证

摘要式身份验证

windows集成身份验证

第5页8/6/20181:16PM©2015谷安天下版权所有

系统默认只启用了匿名身份验证，另外三中需要通过添加角色服务的方式来添加

第6页8/6/20181:16PM©2015谷安天下版权所有

另外身份验证的顺序为：

Ø匿名身份验证windows验证摘要式身份验证基本身份验证

Ø可以这么理解，如果同时开启匿名身份验证和基本身份验证，客户端就会先利用匿名身份验证，

所以基本身份验证即无效！

第7页8/6/20181:16PM©2015谷安天下版权所有

Ø匿名身份验证

Ø即用户访问站点时，不需要提供身份认证信息，即可正常访问站点！

（服务端IIS设置允许匿名访问后，收到客户端的资源请求后，不需要经过身份验证，直接把请求的资源返回给客户端）

ØGET/iisstart.htmHTTP/1.1

ØAccept*/*

ØAccept-Languagezh-cn

ØUA-CPUx86

ØAccept-Encodinggzip,deflate

ØIf-Modified-SinceFri,21Feb2003121552GMT

ØIf-None-Match0ce1f9a2d9c21d87

ØUser-AgentMozilla/4.0(compatible;MSIE6.0;WindowsNT5.2;SV1;.NETCLR1.1.4322;InfoPath.1;.NETCLR2.0.50727;MAXTHON2.0)

ØHost

ØConnectionKeep-Alive

Ø

ØHTTP/1.1200OK

ØContent-Length1193

ØContent-Typetext/html

ØLast-ModifiedFri,21Feb2003