IIS 7 取消目錄執行權限圖文教程：防範 Webshell 與惡意腳本執行

風險背景

上傳目錄、快取目錄、使用者素材目錄若保有「執行」權限，駭客上傳 .asp/.aspx/.php 惡意腳本即可直接執行，植入 Webshell 控制整台伺服器。Windows Server 2008 IIS 7 預設較 2003 安全，但仍需手動收斂權限。

操作步驟（圖文對應）

1. 選中目標網站/目錄：IIS 管理器左側樹狀結構點選對應節點
2. 雙擊「處理程式對應」：功能視圖中圖示為齒輪與綠色箭頭
3. 右側動作欄點選「編輯功能權限」：彈出權限對話框
4. 取消勾選「腳本」：僅保留「讀取」，移除「腳本」與「執行」
5. 確定套用：該目錄下所有腳本副檔名將不再被處理器執行

關鍵提醒

• 切勿取消「讀取」權限，否則靜態資源（圖片、CSS、JS）無法載入，網站直接掛掉
• 真正需要執行動態腳本的目錄（如 /admin、/api）請保持原狀或單獨設定
• 配合「請求篩選」功能封鎖高風險副檔名上傳
• 上傳目錄建議另設應用程式集區、獨立身分識別、啟用防病毒即時掃描

驗證方法

在該目錄建立 test.asp 內容 <%=\"test\"%>，瀏覽器訪問應回傳 403.3 Forbidden 或 404，而非執行結果。

補充：命令列批量設定

appcmd set config "Default Web Site/uploads" -section:system.webServer/handlers /accessPolicy:Read

適合自動化部署腳本。