用户权限设置
外部客户端在访问本机网站时是以IUSR_SERVERNAME用户（以下简称为IUSR用户）的权限执行所有操作的，所以为了保证系统的安全，我们必须对该用户的权限作一些限制。
小知识：
IUSR_ServerName是WEB访问者使用的系统默认账号，系统表示为Internet访问用户。当WEB服务器不需用户登录就能访问数据库时，它实际是使用IUSR_ServerName用户身份来访问数据库。IUSR_ServerName是在安装IIS时创建的用户。默认情况下，“启用 Windows 账户同步”是选中的。
首先，要删除Everyone对系统所有的卷的访问权限。由于Everyone是各用户（组）权限设置的父对象，所以在删除Everyone权限之前，要取消子对象对父对象权限的继承。
方法是在所设置目录的“属性”对话框的“安全”选项卡中点击“高级”按钮，取消“允许父对象将其权限传播到该对象及其子对象”的选定（如图1所示）。
 |
这时系统会提示选择是否将父对象的权限复制给子对象，笔者建议大家选择复制，这样的好处就是以后不必重新设置管理员用户的权限。
接着就是对IUSR用户作设置。在网站数据库（ACCESS）、上传文件的所在目录，我们须赋予其“列文件目录”、“读取”和“写入”权限（如图2所示）；
|
|
脚本执行设置
这个就简单多了。网站目录大体分两类：一类保存着我们的脚本文件，另一类保存着非脚本文件，例如网站数据库、上传的图片等等。因此，具体的设置也就有两种，前一类允许执行脚本文件，后一类禁止执行其中的脚本文件。
设置方法：在IIS服务管理器中右键点击所需设置目录，在“目录”选项卡里，对“执行权限”进行设置，前一类设置成“纯脚本”，后一类设置成“无”即可，如图4所示。
|
上面的设置已禁止数据库文件中的ASP脚本的执行，大家也许会想：“那以前用ASP语句出错的方法防止数据库被下载不就不行了么？”别急，我们这次用筛选器来进行数据库的防下载保护。
具体设置方法如下：在IIS服务管理器中，进入被设置网站的属性框，点击“主目录”、“配置”、“添加”（上面那个），扩展名自然就输入数据库文件的扩展名了，上面的可执行文件项就随便添一个EXE文件就行了，点“确定”就完成了设置（如图5所示）。
|
|
由于MSSQL数据库服务是以SYSTEM权限运行的，所以通过MSSQL的注入攻击往往能较容易的取得ADMIN权限，因此对它的设置也是脚本安全防护中的重中之重。
首先自然是用户设置。大家都知道“SA”是一个拥有极高权限的用户，所以脚本系统在连接SQL数据库的时候一定不要使用“SA”，我们应该建立一个“database creator”级的新用户，只赋予其对网站数据库的DB_OWNER权限，用它来连接数据库可以很好的保证系统的安全。
小知识：
SQLServer的用户sa是个等同Adminstrators权限的角色，拿到了sa权限，几乎肯定可以拿到主机的 Administrator了。SQL Server的默认用户sa的权限非常巨大，有种观点是sa的权限要大于administrator的权限，也就是说没有限制的sa用户可以做Windows系统管理员所做的任何事。
删除方法就是在SQL查询分析器中执行“exec master..sp_dropextendedproc ‘被删除的扩展存储名’”（无双引号）即可（如图7所示）。
|
Sp_makewebtask
xp_cmdshell
xp_dirtree
小知识：
存储过程就像是编程用的函数，内容是按需要编写的一系列SQL 语句和可选控制流语句，可由应用程序通过一个调用执行，而且允许用户声明变量、有条件执行以及其它强大的编程功能。每个库都可以存放存储过程，但扩展存储过程只存在master 数据库中，对用户来说，扩展存储过程与普通存储过程一样，执行方法也相同。但扩展存储过程能执行除了数据库之外的许多操作。
虽然我们作了这么多设置，但也不要忘记了保持服务器安全的重中之重，那就是给你的系统打好补丁，系统漏洞可不是通过几个设置就能轻松堵上的。
