设置.net1.1安全: 修改C:\WINDOWS\Microsoft.net\Framework\v1.1.4322\CONFIG\machine.config 文件. 改为 参考资料：http://msdn.microsoft.com/zh-cn/library/72wdk8cc(VS.80).aspx 设置.net2.0安全. 打开IIS->找到一个默认站点->右键属性->asp.net->确认.net版本选择的是.ne2.0(如果不是.net2.0,编辑全局配置这 个按扭是灰色的)->编辑全局配置->应用程序,把”本地模拟”前面的勾打上 IIS Spy。点击以后可以看到所有站点所在的物理路径。 防御方法： %SystemRoot%/ServicePackFiles/i386/activeds.dll %SystemRoot%/system32/activeds.dll %SystemRoot%/system32/activeds.tlb 搜索activeds.dll和activeds.tlb这两个文件，把USER组和POWERS组去掉，只保留administrators和system权限。如果还有其它组请全部去掉，这样就能防止这种木马列出所有站点的物理路径 设置C:\WINDOWS\system32\inetsrv目录下的adsiis.dll的权限也可以禁止遍历IIS ==================================================================== 刚在网上看到的一篇文章 归纳到一起 关于禁止IISSPY的弊端.测试环境：Windows2003SP2+IIS6.0+ASP.Net 3.5 IISSPY危害 前段时间发现Bin大牛发布了ASPXSPY V2009，利用此Webshell的iisspy功能可以成功列出服务器的所有网站的账号、密码、站点路径等信息。 网上解决方案 去掉%windir%/system32/activeds.dll和%windir%/system32/activeds.tlb这两个文件的Users组和Power Users组的读取权限。 造成的弊端 当我们去掉这两个文件的Users组和Power Users组的读取权限时，我们再使用IISSPY功能时，它会显示“加载类型库/DLL 时出错。”，且不能显示出服务器上所有的网站信息，但我们将服务器进行重启后，会发现系统里所有的服务都不能停止，也不能启动。它的错误信息都是“在 本地计算机 无法启动 XXX服务。错误 1053：服务没有及时响应启动或控制请求。”，而且最要命的是它不会在系统日志里面显示详细的错误信息。 最终解决方案 仅将%windir%/system32/activeds.tlb文件的Users组和Power Users组的读取权限去掉。保留Users组和Power Users组对%windir%/system32/activeds.dll文件的读取权限。这样既能让IISSPY功能失效，又能让系统里的服务正常启动和停止。 ========================================================== 添加一点服务器安全设置 ========================================================= 限制目录的文件执行权限保障服务器安全 对于一个web目录来说。 根本不需要运行可执行文件的权限。这里教大家一种方法。 利用gpedit.msc(组策略)禁止目录执行某些文件。 首先: 运行-----输入 gpedit.msc ----计算机配置---windows 设置----安全设置↓ ----软件限制策略(如果旁边没有什么东西。点右键创建一个策略)---其他规则----(点右键)新建立一个路径规则(p)。 如图1: