Windows Server 2003 強化 FSO 安全性：隔離虛擬主機檔案存取

ASP 的 FileSystemObject (FSO) 雖賦予強大檔案操作能力，卻也成為駭客植入木馬、竊取跨站資料的利器。單純停用 FSO 會導致合法 ASP 程式失效。本文分享在 Windows Server 2003 上，透過 NTFS 權限與 IIS 匿名帳號隔離，實現「啟用 FSO 但限制各虛擬主機僅能存取自身目錄」的實務做法。

核心原則：最小權限 + 帳號隔離

1. 移除預設過度權限：在磁碟「安全性」頁籤刪除 Everyone、Users 群組；若導致 ASP 無法執行，加入 IIS_WPG 群組並給予必要權限，重啟生效。
2. 為每個站點建立專屬匿名帳號：例：站點 E:\Abc 對應帳號 Abc，設定密碼永不過期、不可變更，歸屬 Guests 群組。
3. 設定目錄 NTFS 權限：移除預設繼承，僅保留 Administrators 與該站點專屬帳號的「完全控制」。
4. 調整 IIS 匿名存取身分：在 IIS 管理員中，將站點的匿名存取帳號從預設 IUSR_機器名 改為對應的專屬帳號（如 Abc）。

進階：解除 FSO 上傳 200KB 限制

1. 停止 IIS Admin Service。
2. 編輯 Windows\System32\Inetsrv\Metabase.xml，找到 AspMaxRequestEntityAllowed，預設值 204800 (200KB)，修改為所需大小（如 51200000 為 50MB）。
3. 重新啟動 IIS Admin Service。

成效驗證

設定完成後，FSO 木馬無法跨目錄存取；各虛擬主機僅能在自身目錄下讀寫檔案，兼顧功能與安全。