微軟一次又一次編造著復(fù)雜的方程式，用以解釋眾口難調(diào)的當(dāng)今最前沿技術(shù)的奧秘。沒有人能夠從哲學(xué)角度來判別IIS 6.0是否足夠安全，我們所能做的只有一次又一次地遭遇不測，然后根據(jù)經(jīng)驗(yàn)修改IIS 6.0的不安全配置，直至它能夠?qū)崿F(xiàn)其最大性能和最佳安全性。IIS 6.0從某種意義上說，就如同我們的情人，上天總是故意安排坎坷作為你的修行課程。當(dāng)你恨她入骨時，卻又不得不相信如果沒她我們真是活不了。

　　小知識：為什么Windows Server 2003缺省沒有安裝IIS 6.0？

　　在過去，包括微軟在內(nèi)的廠商打包一系列的樣本腳本，文件處理和給管理員提供的必要的便于是用的小型的文件系統(tǒng)許可在網(wǎng)絡(luò)服務(wù)器默認(rèn)安裝程序中。然而，這樣一來增加了被攻擊的可能性，而且也是多種對IIS進(jìn)行攻擊的基礎(chǔ)。因此，IIS6.0比其以前的版本都要安全。其中最為顯著的改變是IIS6.0不是作為windows server 2003的缺省安裝。

　　在Windows Server 2003安裝IIS 6.0：

　　單擊“開始”“控制面板”→“添加/刪除程序”→“添加/刪除 Windows 組件”按鈕，啟動“Windows 組件向?qū)А薄Ｔ凇癢indows 組件”列表中，選中“應(yīng)用程序服務(wù)器”旁的復(fù)選框，單擊“詳細(xì)信息”。在“應(yīng)用程序服務(wù)器”→“應(yīng)用程序服務(wù)器子組件”下方，突出顯示“Internet 信息服務(wù) (IIS)”，單擊“詳細(xì)信息”。在“Internet 信息服務(wù) (IIS) 子組件”列表中，選擇“萬維網(wǎng)服務(wù)”，單擊“詳細(xì)信息”。要添加可選組件，選中要安裝的組件旁的復(fù)選框。單擊“下一步”，然后單擊“完成”。

圖1

　　在解釋IIS 6.0安全性配置之前，首先應(yīng)該介紹一下IIS 6.0的幾個不安定因素：IIS管理服務(wù)(inetinfo.exe，提供IIS的管理工作，SMTP,NNTP,FTP等服務(wù))，WWW管理服務(wù)(WAS，工作處理程序管理，組態(tài)管理)，HTTP.sys(負(fù)責(zé)出來Request，提供Cache，Queue等功能)，工作處理程序(W3Wp.exe)。接下來筆者圍繞這些因素談?wù)勏嚓P(guān)安全配置的取舍。

　　WEB應(yīng)用程序（如ASP）緩沖池

　　實(shí)驗(yàn)證明，在給網(wǎng)站配備了應(yīng)用程序緩沖池之后，網(wǎng)站的訪問效率提高的幾倍甚至十幾倍。IIS 6.0最大的改進(jìn)之一就是應(yīng)用程序緩沖池允許隔離。IIS 5.0中，所有WEB應(yīng)用程序只允許共用一個緩沖池。由于將web應(yīng)用程序隔離在獨(dú)立的單元將會導(dǎo)致嚴(yán)重的性能下降，因此沒有實(shí)現(xiàn)應(yīng)用程序隔離。

　　通常一個web應(yīng)用程序的失敗會影響同一服務(wù)器上其他應(yīng)用程序。然而，IIS 6.0在處理請求時，通過將應(yīng)用程序隔離成一個個叫做應(yīng)用程序池的孤立單元這種設(shè)計(jì)上的改變，成倍的提高了性能。每個應(yīng)用程序池中通常由一個或多個工作進(jìn)程。這樣就允許確定錯誤的位置，防止一個工作進(jìn)程影響其他工作進(jìn)程。這種機(jī)制也提高了服務(wù)器以及其上應(yīng)用的可靠性。

　　這樣的結(jié)構(gòu)明顯很不合理，造成了權(quán)限的混亂。而在IIS 6.0中，也許是微軟汲取了非典期間的智慧，把各個緩沖池進(jìn)行了隔離。可以設(shè)定多個緩沖池，定義它們的名字。指定在網(wǎng)站，目錄，甚至虛擬目錄中的WEB程序到任何一個緩沖池。

　　首先要選擇到底采用IIS 5.0還是采用IIS 6.0的隔離措施。出于對舊版本的兼容性，IIS 6.0允許仍然采用IIS 5.0的方式。但兩種方式不能同時啟用。

　　點(diǎn)擊“開始”→“設(shè)置”→“控制面板”→“管理工具”→“IIS管理器”，右鍵單擊網(wǎng)站，點(diǎn)擊“屬性”→“服務(wù)”，把“以IIS 5.0的隔離模式運(yùn)行WWW服務(wù)”復(fù)選框前的鉤去掉。

圖2

圖3

　　單擊“應(yīng)用程序池”，右鍵單擊右邊空白處，點(diǎn)擊“新建”→“應(yīng)用程序池”，給新建的應(yīng)用程序池設(shè)置一個名字，點(diǎn)擊確定即可。這里所謂的依照某一模板新建，是指新建的應(yīng)用程序池的屬性配置與之前建好的某應(yīng)用程序池。點(diǎn)擊“網(wǎng)站”前的加號，展開當(dāng)前目錄下的所有網(wǎng)站，右鍵單擊目標(biāo)網(wǎng)站，點(diǎn)擊“屬性”→“主目錄”→“應(yīng)用程序池”，選定剛剛建好的緩沖池。重復(fù)這些步驟，便可為不同的網(wǎng)站設(shè)立不同的應(yīng)用程序緩沖池。這些緩沖池是隔離開的，提高了服務(wù)器的穩(wěn)定性和安全性。

圖4

圖5

　　1.右擊適當(dāng)?shù)膽?yīng)用程序池，然后單擊“屬性”。出現(xiàn)應(yīng)用程序池的屬性對話框。 單擊“回收”選項(xiàng)卡，然后設(shè)置適當(dāng)?shù)膽?yīng)用程序池設(shè)置。“內(nèi)存回收”是等效于 memoryLimit ASP.NET 進(jìn)程模型設(shè)置的應(yīng)用程序池設(shè)置。它指定輔助進(jìn)程可以使用的最大內(nèi)存量。如果輔助進(jìn)程超出了這一數(shù)量，將創(chuàng)建新的進(jìn)程來替換它，并且當(dāng)前所有請求都被重新分配給該新進(jìn)程。

圖6

　　2.右擊適當(dāng)?shù)膽?yīng)用程序池，然后單擊“屬性”。出現(xiàn)應(yīng)用程序池的屬性對話框。 單擊“性能”選項(xiàng)卡，然后設(shè)置適當(dāng)?shù)膽?yīng)用程序池設(shè)置。“空閑超時”是指定輔助進(jìn)程或應(yīng)用程序池在開始處于不活動狀態(tài)后，過多長時間將其關(guān)閉。

　　默認(rèn)情況“空閑超時”是啟用的而且設(shè)置為 20 分鐘。通過更改數(shù)值調(diào)節(jié)框中的值，可以指定一個不同的時間限制。“請求隊(duì)列限制”指定在異常終止后等待輔助進(jìn)程啟動時在 ASP.NET ISAPI 中排隊(duì)的請求的最大數(shù)目。默認(rèn)情況下“請求隊(duì)列限制”是啟用的而且設(shè)置為 1000 個請求。通過更改數(shù)值調(diào)節(jié)框中的值，可以對排隊(duì)的請求的數(shù)目指定不同的限制。

圖7

　　3.右擊適當(dāng)?shù)膽?yīng)用程序池，然后單擊“屬性”。出現(xiàn)應(yīng)用程序池的屬性對話框。 單擊“健全”選項(xiàng)卡，然后設(shè)置適當(dāng)?shù)膽?yīng)用程序池設(shè)置。“啟用 ping”是指定 ASP.NET ISAPI 檢查輔助進(jìn)程是否存在的時間間隔。如果沒有輔助進(jìn)程，則重新啟動輔助進(jìn)程。默認(rèn)情況下“啟用 ping”是啟用的而且設(shè)置為 30 秒。

　　通過更改數(shù)值調(diào)節(jié)框中的值，可以指定一個不同的時間間隔。“關(guān)閉時間限制”是指定提供給輔助進(jìn)程的用來正常關(guān)閉的時間長度。如果輔助進(jìn)程在指定的時間長度內(nèi)沒有關(guān)閉，則 ASP.NET ISAPI 將結(jié)束該輔助進(jìn)程。默認(rèn)情況下“關(guān)閉時間限制”設(shè)置為 90 秒。通過更改數(shù)值調(diào)節(jié)框中的值，可以指定一個不同的時間限制。