iis6.1的网站建设及权限设置那点事儿，老站长掏心窝子分享

做站七年，见多了因为权限设错导致网站打不开或者被黑客拖库的惨案。这篇不整虚的，直接告诉你iis6.1的网站建设及权限设置到底该怎么搞，保证你看完就能上手，不再踩坑。

说实话，现在还在用iis6.1的老服务器，要么是跑着很稳的老系统，要么就是某些老旧的ERP或者内部OA系统。这玩意儿虽然老，但胜在稳定，只要配置得当，比那些花里胡哨的新环境强多了。很多新手一上来就疯狂给文件夹权限，什么Everyone完全控制，结果网站是起来了，第二天早上发现被挂马了，那滋味真不好受。所以，iis6.1的网站建设及权限设置的核心逻辑就四个字：最小授权。

咱们先说网站搭建。别一打开IIS管理器就在那点点点，你得先搞清楚你的网站根目录在哪。很多老服务器，C盘空间小，网站都建在D盘或者E盘。这时候，你要确保ASP.NET或者ASP的脚本映射是对的。如果是ASP站，检查ISAPI扩展里有没有勾选允许执行脚本。这一步错了，你后面权限设得再完美，打开也是500错误或者403错误，急死人。我见过太多人为了调试，把整个D盘都给了IUSR_机器名账号完全控制权限，这简直是给黑客留大门。

接下来是重头戏，权限设置。这是iis6.1的网站建设及权限设置里最容易出问题的地方。记住，Web用户默认是IUSR_开头的那个账号，而执行脚本的如果是ASP，可能涉及到NETWORK SERVICE或者SYSTEM，这得看你具体的配置。一般情况下，给网站目录的权限，IUSR_账号只需要“读取”和“写入”（如果是需要上传图片或生成缓存的话），绝对不要给“修改”或“完全控制”。

举个例子，假设你的网站在D:\wwwroot\myweb。你右键这个文件夹，选属性，安全选项卡。添加IUSR_你的机器名，权限只勾选读取、列出文件夹内容、读取。如果这个目录需要上传文件，那就加上“写入”。千万别手抖勾了“修改”。对于那些不需要上传的目录，比如存放JS、CSS、图片的静态资源目录，连写入都别给，只给读取。这样就算有人找到了上传漏洞，他也改不了你的核心代码，只能上传个马，但没法直接覆盖你的asp文件，给你争取了发现和处理的时间。

还有啊，很多人忽略了应用程序池的权限。在IIS6里，每个网站可以绑定一个应用程序池。建议给每个重要的网站单独建一个应用池，并且设置身份。默认是Network Service，这个权限其实挺高的。如果你只是跑个简单的静态站或者简单的ASP，可以考虑改成低权限账户，或者至少确保该账户对系统目录没有写入权限。这一步做好了，iis6.1的网站建设及权限设置就完成了一大半。

最后提醒一点，日志别关。IIS6的日志默认是保存在C:\Windows\System32\LogFiles\W3SVC1\里的。很多站长为了省空间，把日志路径改到D盘，甚至直接关了。千万别这么干。出了事，日志是你唯一的证据。定期清理旧日志，保留最近一个月的就行。

总之，搞iis6.1的网站建设及权限设置，心态要稳，手要轻。别想着一步到位，先让网站跑起来，再一点点收紧权限。安全这东西，不是靠买个防火墙就能解决的，全靠日常点点滴滴的配置。希望这点经验能帮到还在坚守老阵地的兄弟们，少掉头发，多睡好觉。