IIS网站目录权限设置和在IIS服务器上安装SSL证书是网站安全加固的两大核心操作，需要同时正确配置，才能有效防止数据泄露和权限提升攻击。
iis网站目录权限设置方法详解
为什么目录权限是第一道防线
网站目录权限直接决定了哪些用户或进程能读写执行你的文件,如果权限过于宽松，攻击者即使没有拿下WebShell，也可能通过目录遍历漏洞窃取敏感数据，甚至篡改网页内容，行业共识认为，IIS权限配置错误是导致网站被篡改的主要原因之一，多数情况下，问题出在给应用程序池分配了过高权限，或者开放了不必要的写入权限。
具体设置步骤
-
确定应用程序池标识
每个IIS网站都对应一个应用程序池，池的运行身份决定了访问目录的底层账户，默认是ApplicationPoolIdentity，推荐使用专用身份，避免与系统账户混用。 -
设置文件系统 NTFS 权限
- 网站根目录：只给应用程序池标识“读取和执行”权限，确保能正常显示页面。
- 上传目录：单独创建文件夹，仅给该标识“写入”权限，同时禁止执行脚本。
- 日志目录：给对应标识“写入”权限，但限制其他用户访问。
- 配置文件：给管理员“完全控制”，应用程序池标识只读，防止被篡改。
-
在IIS管理器中配置请求过滤
除了NTFS权限，还要在站点级别启用请求过滤，限制文件扩展名和URL路径，阻止未授权的文件访问，阻止.config、.cshtml等敏感文件直接被下载。 -
严格限制写入权限
凡不需要写入的目录，一律去掉写入权限，对于需要上传的目录，通过IIS的“处理程序映射”禁用该目录内的脚本执行。
常见的权限配置错误
- 把整个网站目录都给了“完全控制”给应用程序池标识，导致任意文件上传漏洞无限放大。
- 使用
NetworkService或LocalSystem作为应用程序池标识，这些账户权限太高，一旦被利用可以影响整个服务器。 - 忽略了临时目录的权限,某些应用（如.NET）会写入临时文件，如果临时目录权限过松，也可能被攻击者利用。
在IIS服务器上安装SSL证书的步骤与注意事项
证书选择与购买前的考虑
购买SSL证书时,需要考虑域名类型和验证级别，DV证书适合个人博客，OV证书适合企业展示，EV证书价格高但能显示绿色地址栏，如果你面向国内用户，国内CA机构颁发的证书在兼容性上稍有优势，但国际主流CA同样被广泛支持，业内专家指出，选择证书时不必盲目追求高价，只要能满足加密需求，DV证书在成本上更划算。
安装SSL证书的具体步骤
-
生成证书签名请求
在IIS管理器中，选择服务器节点，点击“服务器证书”，创建证书申请”，填写常用名称（必须是完整域名，如www.example.com）、组织信息，最后保存为文本文件。 -
提交CSR并获取证书
将CSR内容粘贴到CA的申请页面，完成验证后下载证书文件，通常包含一个.crt文件和一个中间证书链文件。 -
完成证书申请
回到IIS，在“服务器证书”中点击“完成证书申请”，选择下载的.crt文件，指定友好名称，证书就安装到了服务器上。 -
绑定证书到网站
选择目标网站，在“绑定”中添加HTTPS类型，选择已安装的证书，端口443，如果需要强制跳转HTTPS，可以在URL重写中设置规则，或者使用HTTP重定向功能。
配置SSL证书后的验证
- 使用浏览器访问
https://你的域名，查看锁图标是否正常。 - 在线SSL检测工具（如Qualys SSL Labs）检查证书链是否完整、协议是否支持TLS 1.2/1.3。
- 测试网站所有资源是否通过HTTPS加载,避免混合内容警告。
目录权限与SSL证书协同配置的关键点
为什么两者需要协同
SSL证书只加密传输通道,不保护服务器文件本身，如果目录权限设置不当，即使通信加密，攻击者依然可以通过漏洞直接读取服务器上的敏感文件，或者篡改证书相关配置，某个管理员将私钥文件所在目录权限开放给所有人，那么SSL加密就形同虚设，反之，权限再严格，如果证书配置错误导致中间人攻击，加密也等于白做。
典型案例：权限配置不当导致SSL证书无效
- 私钥泄露：证书私钥文件必须存放在只有管理员能访问的目录，且NTFS权限只给操作系统和特定管理员，如果IIS应用程序池标识对私钥有读取权限，一旦站点被攻破，私钥可能被窃取。
- 证书绑定目录权限过高：有些站点把证书绑定文件夹放在普通用户可写的目录，攻击者可以通过上传恶意证书替换合法证书，实现中间人攻击。
- HTTPS强制跳转与目录权限冲突：如果强制跳转规则依赖于某个文件，而该文件所在目录权限设置错误，可能导致跳转规则失效，用户仍能通过HTTP访问。
协同配置的最佳实践
- 将证书私钥文件存储在非网站目录的独立文件夹,例如
C:ProgramDataMicrosoftCryptoRSAMachineKeys，确保网站应用无法访问。 - 定期审计目录权限,确保每个文件夹只分配必要的权限，并且移除不必要的用户组。
- 在IIS中启用“SSL设置”，勾选“要求SSL”，并设置“客户端证书”为“忽略”或“接受”，根据实际需求调整。
- 使用“IIS管理器”的“配置编辑器”锁定SSL相关设置，防止被运行时修改。
iis网站目录权限设置与SSL证书安装常见问题解答
问：安装SSL证书后网站显示不安全，但目录权限正确，可能是什么原因？
证书链不完整或中间证书缺失时,浏览器会提示不安全，检查IIS中是否导入了完整的CA证书链，或者通过在线检测工具检查证书链，确认网站绑定的域名与证书的通用名称完全匹配，包括www和非www。
问：iis网站目录权限设置后，网站无法访问，怎么办？
最常见的原因是给应用程序池标识的权限不足,检查网站根目录是否给了“读取和执行”权限，以及应用程序池账户是否有权限访问系统临时目录，如果使用虚拟目录，必须单独设置该目录的权限，推荐先在IIS管理器中查看“错误页”，根据具体错误代码（如500.19）定位。
问：需要同时支持多个域名，在IIS上安装SSL证书有特殊要求吗？
如果使用多域名证书（SAN证书），可以在同一证书中绑定多个域名，安装步骤与单域名证书相同，绑定网站时选择对应证书即可，如果使用不同证书，必须为每个域名单独开通站点并使用不同IP或端口，或者通过SNI扩展支持，但要求客户端浏览器兼容，IIS 8及以上版本默认支持SNI，在绑定中勾选“需要服务器名称指示”即可。
IIS网站目录权限设置和在IIS服务器上安装SSL证书必须同步考虑，以权限为基础，加密为保障，才能构建真正安全的Web环境。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/568902.html
