IIS7安全加固

限制目录执行权限
在“处理程序映射”中，把“编辑功能权限”中的“脚本”去掉，这样即使上传了木马文件在此目录，也是无法执行的。

删除不必要的脚本映射
在“处理程序映射”中，从列表中删除以下不必要的脚本。
包括 .asa .cer .cdx .idq .htw .ida .shtml .stm .idc .htr .printer等。
删除的原则：只保留需要的脚本映射。
也可以自定义添加映射。

开启日志审计
默认情况下Web日志存放于系统目录" %SystemDrive%\inetpub\logs\LogFiles"，将Wb日志文件放在非网站目录和非操作系统分区，并定期对Web日志进行异地备份。

关闭目录浏览
在“目录浏览”中，在最右边操作栏点击“禁用”，即可禁用目录浏览。

解决IIS短文件名漏洞
在“请求筛选”在“URL”中添加“拒绝序列”URL序列设置为【~】。

关闭WebDAV
选择一个站点，在功能视图中找到WebDAV创作规则，双击 WebDAV创作规则，选择禁用WebDAV。

停用或删除默认站点
IIS安装后的默认主目录是“C:\inetpub\wwwroot”，为更好地抵抗踩点、刺探等攻击行为，应该更改主目录位置，禁用默认站点，新建立站点并进行安全配置。

开始->管理工具->Internet 信息服务(IIS)管理器 选择相应的站点，然后右键站点，选择停止或者删除。

卸载不需要的IIS角色服务
通常下列角色可以删除：
“默认文档”，“目录浏览”，“CGI”，“在服务器端的包含文件”

身份验证设置
将不需要使用的身份验证方法设置为禁用。例如：如果站点未部署ASP.NET应用，则可以将“ASP.NET 模拟”设置为禁用。