IIS 發布站點彈出密碼提示故障診斷與修復全攻略

Windows Server 2003 IIS 6.0 發布站點後，客戶端訪問彈出 Windows 認證對話框，即使輸入正確域帳號也無法訪問，提示「您未被授權查看該頁... ACL 拒絕訪問」。本文系統分析故障成因並提供分級修復方案。

故障現象重現

1. 本機 IIS 管理器「瀏覽」功能訪問 https://localhost/1.htm 正常
2. 遠程/本機用 IP 訪問 https://58.129.1.80/1.htm 彈出認證框
3. 輸入正確帳號密碼後仍提示 401.3 (ACL 拒絕)

根因分析

層級一：IUSR_帳戶密碼不同步 (最常見)

IIS 安裝自動創建兩個關鍵賬號：

• IUSR_機器名 (Internet 來賓帳戶) - 匿名訪問身份
• IWAM_機器名 (啟動 IIS 進程帳戶) - 進程運行身份

若 IUSR 密碼被安全軟件/病毒/人為修改，IIS 元數據庫存儲的密碼與 SAM 賬號密碼不一致，導致匿名認證失敗，觸發基本/集成認證回退。

修復：卸載並重新安裝 IIS (「添加/刪除 Windows 組件」)。重裝會重置 IUSR 密碼並同步到元數據庫。不可手動修改 IUSR 密碼 (系統自動生成複雜隨機密碼)。

層級二：NTFS 目錄權限缺失 (重裝 IIS 無效時)

站點物理目錄 (非默認 C:\Inetpub\wwwroot) 缺少 IUSR_機器名 讀取權限。

修復步驟：

1. 右鍵站點目錄 → 屬性 → 安全標籤
2. 添加 IUSR_機器名 (或 IIS_IUSRS 組)
3. 授予 讀取/讀取執行/列出資料夾內容 三項基本權限
4. 嚴禁 授予寫入/修改/完全控制權限 (防止 Webshell 上傳/頁面篡改)

默認目錄 C:\Inetpub\wwwroot 安裝 IIS 時自動配置正確權限，故較少出現此問題。

層級三：IIS 認證與目錄配置錯誤

1. 目錄安全性 → 身份驗證方法：
   • ✅ 勾選「啟用匿名訪問」
   • ❌ 取消勾選「集成 Windows 身份驗證」
   • 匿名帳戶確認為 IUSR_機器名
2. 主目錄標籤 → 應用程序設置/執行權限：
   • 執行權限選「純腳本」
   • 確認讀取權限已勾選
   • 如需腳本運行 (ASP/PHP)，勾選「腳本」權限

綜合排查清單

進階場景：應用程序池身份 (IIS 6.0+)

若站點使用獨立應用程序池 (身份為 NetworkService 或自定義域用戶)：

• 物理目錄需授予該身份 RX 權限
• 匿名訪問仍使用 IUSR，兩者權限疊加生效

核心原則：匿名訪問 = IUSR 身份 + 目錄 RX 權限。任何一環缺失均觸發認證回退。默認站點目錄自動配置正確，自定義目錄必須手動同步權限。