Windows IIS 伺服器權限深度配置：僅允許 ASP 腳本安全執行

設計目標

在 Windows 2000/2003 IIS 環境下，透過 NTFS 權限、登錄機碼、COM 元件註銷、IIS 應用對應等多層次管控，實現「僅允許 ASP/ASA 腳本正常執行，封鎖所有 Shell、FSO、命令列等高危操作」。

前置動作

• 刪除或重命名 X:\Inetpub 預設目錄。
• 資源管理器 → 工具 → 資料夾選項 → 檢視 → 勾選「顯示隱藏檔案/資料夾」。

一、系統碟與關鍵目錄權限

二、敏感系統執行檔：僅限 Administrators/SYSTEM

對下列檔案移除繼承，僅保留 Administrators / SYSTEM 完全控制：

at.exe, cmd.exe, command.com, cacls.exe, cscript.exe, debug.exe,
ftp.exe, tftp.exe, net.exe, net1.exe, netsh.exe, nbtstat.exe, netstat.exe,
quser.exe, regsvr32.exe, hostname.exe, wscript.exe, ping.exe, pathping.exe,
ipconfig.exe, iisreset.exe, logoff.exe, setreg.exe, setpwd.exe, telnet.exe

三、特殊 DLL 檔案權限

C:\WINNT\system32\wshom.ocx
C:\WINNT\system32\wshext.dll
C:\WINNT\system32\scrrun.dll  (FSO，視需求可選)

僅保留 Administrators / SYSTEM 完全控制，移除繼承。

四、登錄機碼：移除危險 ProgID 與 CLSID

刪除或重命名下列機碼及其 CLSID 子機碼：

HKEY_CLASSES_ROOT\WScript.Shell
HKEY_CLASSES_ROOT\WScript.Shell.1
HKEY_CLASSES_ROOT\WScript.Network
HKEY_CLASSES_ROOT\WScript.Network.1
HKEY_CLASSES_ROOT\Shell.Application
HKEY_CLASSES_ROOT\Shell.Application.1

五、命令列註銷 COM 伺服器

regsvr32 /u wshom.ocx
regsvr32 /u wshext.dll
regsvr32 /u %windir%\system32\scrrun.dll   (可選，註銷 FSO)

六、IIS Web 站點個別權限與應用對應

1. 建立站點專屬帳號 IIS_USER0001，隸屬 IIS_USERS 單一群組 (移除 Users 等)。
2. 站點實體目錄 (如 D:\www\test001) 授予 IIS_USER0001：讀取/寫入。
3. IIS 匿名存取身分改為 IIS_USER0001。
4. 應用程式對應：刪除所有映射，**僅保留 .asp / .asa**。
5. 多站點重複上述步驟，帳號與目錄一一對應。

七、預設網站清理

刪除虛擬目錄：Scripts, IISHelp, IISAdmin, IISSamples, MSADC, Printers。

驗證結果

經實測：動易 2005 SP2、DVBBS 7.1、BBSXP 6.0、6KBBS 7.0 等主流 ASP 程式均正常運行；ASP Woodpecker、海陽等常見 Web Shell 失效。

結語

此配置屬「高強度鎖定」，適合純 ASP 託管環境。若需支援 PHP/ASP.NET/FSO 上傳元件，需視風險評估選擇性放寬 (如保留 scrrun.dll、增加 .php ISAPI 對應)。