Windows Server 2003 IIS 環境下 FSO 元件安全防護實戰：權限最小化與匿名帳號隔離

威脅背景

ASP 應用常使用 FileSystemObject (FSO) 存取伺服器檔案系統，若遭駭客上傳 FSO 木馬，可任意讀寫刪除檔案。單純停用 FSO 會導致正常 ASP 程式失效，需採取更精細的權限控制。

核心防護策略：NTFS 權限最小化 + 匿名帳號隔離

步驟 1：移除 C: 磁碟 Everyone/Users 權限，加入 IIS_WPG 群組

1. 右鍵 C: →「內容」→「安全性」索引標籤。
2. 移除 Everyone、Users 群組。
3. 新增 IIS_WPG 群組，給予「讀取與執行」、「列出資料夾內容」、「讀取」權限。
4. 重新開機生效。

步驟 2：各站點建立專屬匿名帳號，鎖定存取範圍

以站點 E:\Abc\Abc.com 為例：

1. 建立本機使用者 Abc，設定複雜密碼，取消「使用者下次登入時必須變更密碼」，勾選「使用者無法變更密碼」、「密碼永不過期」，隸屬 Guests 群組。
2. 右鍵 E:\Abc →「安全性」→ 取消繼承並移除所有權限 → 新增 Administrators（完全控制）與 Abc（完全控制）。
3. IIS 管理員 → 站點「Abc.com」→「目錄安全性」→「驗證與存取控制」編輯 → 匿名存取帳號改為 Abc，輸入密碼確認。

防護效果

• 網站訪客以 Abc 匿名身分存取，僅能在 E:\Abc 目錄下使用 FSO。
• 即使駭客上傳 FSO 木馬，也無法跳出站點目錄存取系統磁碟或其他站點資料。
• 各站點隔離，單一站點被攻破不波及其他。

進階建議

• 所有磁碟分區同樣套用步驟 1 移除 Everyone/Users。
• 定期稽核匿名帳號權限與密碼複雜度。
• 搭配應用程式層 WAF、檔案上傳型別驗證、防毒掃描多層防護。