iis6.1的网站建设及权限设置
内容:做建站这行快十五年了，说实话，现在大家一听到IIS6，心里多少有点发憷。毕竟这年头，Linux服务器那是主流，Nginx也火得一塌糊涂。但是呢，有些老国企、老政府的项目，或者是一些遗留的老系统，还得硬着头皮在Windows Server上搞。我就遇到过好几个客户，拿着个十年前的服务器过来，说网站打不开了，让我去救火。这一救，就是半天。
今天咱不聊那些高大上的架构，就聊聊最实在的，iis6.1的网站建设及权限设置。注意哈，虽然微软官方没出过叫6.1的系统，但大家习惯把Windows Server 2008 R2或者某些特定配置下的IIS6环境统称为这个，咱们就顺着这个叫法来，方便沟通。
先说建设吧。很多新手朋友，装好系统，打开IIS管理器，看着那一堆绿色的图标，脑子就大了。其实核心就三步：添加网站、绑定IP、配置应用程序池。别嫌我啰嗦，这一步要是错了，后面权限设得再完美也没用。我有个客户，小王，是个刚入行两年的小伙子。他建了个站，绑定的是80端口，结果怎么都访问不了。我过去一看，好家伙，他绑定的IP是127.0.0.1，也就是本地回环地址。这当然只能自己电脑访问，别人连门都进不来。这种低级错误，真不是笑话，是血泪教训。
再来说说大家最头疼的权限问题。iis6.1的网站建设及权限设置，核心就在于那个“身份验证”和“目录安全性”。很多小白喜欢把整个网站目录都给Everyone完全控制权限。我告诉你，千万别这么干。这就好比把你家大门钥匙挂在门口，还写上“欢迎光临”。黑客要是来了，想改你什么改什么，想删什么删什么。
记得去年有个做电商的客户，网站被挂马了，全是博彩链接。排查半天，发现是上传目录的权限太高了，而且没做隔离。攻击者通过一个上传漏洞，直接写入了一个ASP木马，然后执行。要是当时权限设得细一点，上传目录只有写入权限，没有执行权限，悲剧就能避免。
那具体怎么设才安全呢？我的建议是，最小权限原则。网站根目录，给IIS_WPG组读取和执行权限就够了。如果是动态页面，比如ASP或者PHP（虽然IIS6配PHP麻烦点），需要给IIS_IUSRS或者特定的应用程序池身份写入权限，但仅限于上传目录，而且上传目录一定要放在网站根目录之外，或者通过脚本映射来限制执行权限。
这里插一句，很多人不知道，IIS6的应用程序池隔离机制其实挺重要的。别把所有网站都扔在Default App Pool里。万一一个网站挂了，或者被黑了，不会牵连到其他的站。这也是iis6.1的网站建设及权限设置里容易被忽视的一点。
还有啊，身份验证。默认是启用匿名访问，这没问题，但一定要检查匿名访问使用的账户。默认是IWAM_机器名，这个账户权限很低，通常够用。但有些老系统，为了图省事，把匿名账户改成了Administrators组的成员。这是大忌！一旦被发现，服务器直接沦陷。
最后说点题外话。做我们这行的，技术是基础，但责任心才是关键。每次给客户做完iis6.1的网站建设及权限设置，我都会多问一句：“老板，这网站以后谁维护？”如果对方说“随便找个网管看看”，那我就会劝他，要么找个靠谱的，要么把权限收得紧一点。因为人性经不起考验，尤其是面对利益诱惑的时候。
总之，IIS6虽然老，但逻辑没变。安全无小事，权限设置别偷懒。别等出了事，再哭着找我说“老师，救救我”。那时候，数据可能早就没了。希望这篇干货，能帮到正在折腾老系统的你。如果有啥不懂的，多查查微软的官方文档，虽然老旧，但依然是最权威的参考。别光听别人说，自己亲手试一遍，印象才深刻。
