IIS 禁止 .exe 檔案下載三大招：MIME 類型移除、NTFS 權限鎖定、URLScan 擴充名封鎖

出於安全考量，需阻止 IIS 直接提供下載 .exe 等可執行檔。提供三種不同層面的解法，可單獨或組合使用：

方法一：移除 MIME 類型映射（最直接）

1. 開啟 IIS 管理員 → 右鍵「本機電腦」→ 內容 → MIME 類型 按鈕。
2. 在「已註冊的 MIME 類型」清單中找到 .exe application/octet-stream → 移除。
3. 套用後，用戶請求 .exe 將收到 404.3 未對應的 MIME 類型 錯誤。

進階：若僅特定站點需下載 .exe，可在該站點「HTTP 標頭」→「MIME 類型」中個別新增，不影響全域設定。

方法二：NTFS 權限移除讀取權限（檔案系統層面）

• 磁碟必須為 NTFS 格式。
• 對目標資料夾/檔案 → 安全性 → 移除 IUSR_機器名、IIS_IUSRS 等網路存取帳號的「讀取」權限。
• 優點：不依賴 IIS 設定，即使繞過 Web 伺服器直接存取檔案系統也受保護。

方法三：部署 URLScan 3.x 封鎖擴充名（應用層防火牆）

• 下載 URLScan（支援 IIS 5/6/7）。
• 編輯 URLScan.ini：
  [DenyExtensions]
.exe
.dll
.com
.bat
• 優點：集中管理、支援正規表示式、可記錄封鎖日誌、不影響靜態檔案服務效能。

建議策略

生產環境建議採用「方法一 + 方法三」雙重防護：MIME 移除阻絕合法下載請求，URLScan 攔截繞過 MIME 的異常請求，並提供稽核軌跡。NTFS 權限作為最後一道防線。