基于 Windows Server 2003 下的 IIS 6.0 來搭建 ASP 及 .NET 網(wǎng)站虛擬主機(jī)服務(wù)環(huán)境，需要進(jìn)行這么幾步：
下面分別研究。
安裝系統(tǒng)環(huán)節(jié)要注意的主要是可選組件，沒必要的統(tǒng)統(tǒng)去掉，添加作為 HTTP Server 所必需的組件，包括 應(yīng)用程序服務(wù)器 -> ASP.NET，這個(gè)一旦勾選，相關(guān)的支持組件會自動被勾選，之后還要增加 應(yīng)用程序服務(wù)器 -> Internet 信息服務(wù)(IIS) -> 文件傳輸協(xié)議(FTP)服務(wù) 和 應(yīng)用程序服務(wù)器 -> Internet 信息服務(wù)(IIS) -> 互聯(lián)網(wǎng)服務(wù) -> Active Server Pages，這里重要的一點(diǎn)是，不必把整個(gè)組件組全部勾選，比如不必完全選中整個(gè) Internet 信息服務(wù)(IIS)，而只需要單獨(dú)勾選上面指出的就行了。添加的越多安全隱患也就越大，尤其是 Web 遠(yuǎn)程管理之類的功能。
作為和 .NET 網(wǎng)站配套為用戶提供服務(wù)的一個(gè)重要軟件就是 Microsoft SQL Server 2005 數(shù)據(jù)庫服務(wù)軟件，一并裝之。
微軟家族的產(chǎn)品安裝完成后必須要不厭其煩地堅(jiān)決執(zhí)行一項(xiàng)任務(wù)：Windows Update 或 Microsoft Update，我用正版我驕傲，升級無憂！這期間涉及到相當(dāng)多的補(bǔ)丁，還有補(bǔ)丁的補(bǔ)丁，非關(guān)鍵更新最好也都安裝，而且有些也是必須安裝的，比如 .NET Framework 系列。
PS: 如果你是本著 “學(xué)習(xí)和研究” 的精神去 “學(xué)習(xí)和研究” Windows Server 2003 和 Microsoft SQL Server 2005，那就得本著 “學(xué)習(xí)和研究” 的精神去 “學(xué)習(xí)和研究” 一下 Windows Update 或 Microsoft Update 的破解。好在互聯(lián)網(wǎng)上已經(jīng)有很多牛人 “學(xué)習(xí)和研究” 過了，你可以很方便的 “學(xué)習(xí)和研究” 一下他們 “學(xué)習(xí)和研究” 的結(jié)果。
接下來要進(jìn)行安全和性能方面的調(diào)整，互聯(lián)網(wǎng)上有很多關(guān)于 Windows 2003 安全設(shè)置的文章，其中一篇在 這個(gè)鏈接，其實(shí)沒必要完全照本宣科，根據(jù)文章中的精神和自己的實(shí)際情況和環(huán)境，酌情進(jìn)行一些調(diào)整就行了。尤其文中提到的關(guān)于服務(wù)的調(diào)整，可以根據(jù)自己的要求和體會選擇哪些自動、哪些手動、哪些禁用。其實(shí) Windows 優(yōu)化大師 是很不錯(cuò)的一個(gè)軟件，其中關(guān)于系統(tǒng)的安全和性能的調(diào)整選項(xiàng)也很多，可以借用一下。
之后可以安裝一些必要的軟件，其中一個(gè)就是遠(yuǎn)程管理軟件。出于安全考慮，我禁用掉了作為眾矢之的的操作系統(tǒng)自帶的遠(yuǎn)程桌面。取而代之的是安裝基于 VNC 協(xié)議的軟件，這些軟件中，我覺得免費(fèi)軟件 UltraVNC 是個(gè)非常不錯(cuò)的選擇。軟件很小巧，而且性能好效率高，功能也很多，比如剪貼板共享，互傳文件，這都是必不可少的最實(shí)用的功能。安裝的時(shí)候注意要一并安裝 Video Hook Driver，以便 UltraVNC 能高效地直接同顯卡進(jìn)行溝通，提高顯示的質(zhì)量和效率。
這些只是小小前奏，下面的環(huán)節(jié)更加重要。
作為為用戶提供網(wǎng)站上傳服務(wù)的 FTP Sevice，很多人選擇 Serv-U FTP Server。我覺得有時(shí)也不是很有必要，Serv-U 大多是用于專用 FTP 服務(wù)的，而僅僅作為網(wǎng)站管理員在某些時(shí)候上傳一下網(wǎng)站文件，我覺得 IIS 6.0 自帶的 FTP 服務(wù)組件就足夠用了。另外，Serv-U 作為一個(gè)名氣很大的軟件，針對它的攻擊手段也是數(shù)不勝數(shù)的，網(wǎng)上基于 Serv-U 的提權(quán)工具都泛濫成災(zāi)了。
IIS 6.0 的 FTP 配置非常方便，可以一勞永逸。IIS 6.0 的 FTP 有一個(gè)功能叫做 隔離用戶(PS: 這一功能 Linux 下的多個(gè)著名的 FTPD 軟件早在 N 年前就已經(jīng)具備了，而微軟直到 IIS 6.0 才有)，通過這個(gè)功能，用戶只能限制在自己的主目錄。而 IIS 實(shí)現(xiàn)這一功能的方式是這樣的(引自官方幫助文檔)：
創(chuàng)建隔離用戶的新 FTP 站點(diǎn)
- 在 IIS 管理器中，展開本地計(jì)算機(jī)，右鍵單擊“FTP 站點(diǎn)”文件夾，指向“新建”，然后單擊“FTP 站點(diǎn)”。
- 在“FTP 站點(diǎn)描述”和“IP 地址和端口設(shè)置”對話框中提供所需的信息，然后單擊“下一步”。
- 在“FTP 用戶隔離”對話框中，單擊“隔離用戶”，然后單擊“下一步”。
- 完成向?qū)У钠溆嗖襟E。
- 右鍵單擊創(chuàng)建的新 FTP 站點(diǎn)，然后單擊“屬性”。
- 單擊“安全帳戶”選項(xiàng)卡。如果選中了“允許匿名連接”復(fù)選框，則在“用戶名”和“密碼”框中鍵入用于驗(yàn)證匿名用戶的用戶名和密碼。
- 如果允許匿名訪問，請?jiān)?FTP 站點(diǎn)主目錄下創(chuàng)建 LocalUser 和 LocalUser\Public 子目錄。
- 如果本地計(jì)算機(jī)用戶使用他們各自的帳戶用戶名登錄（而不是作為匿名用戶），請?jiān)?FTP 站點(diǎn)根目錄下創(chuàng)建 LocalUser 和 LocalUser\username 子目錄，以允許每個(gè)用戶連接該 FTP 站點(diǎn)。
- 如果不同域的用戶使用顯式 domain\username 憑據(jù)登錄，請?jiān)谠?FTP 站點(diǎn)根目錄下為每個(gè)域都創(chuàng)建一個(gè)子目錄（使用域名）。在每個(gè)域目錄下，為每個(gè)用戶創(chuàng)建一個(gè)目錄。例如，要支持用戶 Sales\user1 訪問，請創(chuàng)建 Sales 和 Sales\user1 目錄。
這種方式也有不足的地方，官方文檔中也有介紹：
注意 當(dāng)使用該模式創(chuàng)建了上百個(gè)主目錄時(shí)，服務(wù)器性能會下降。
所以這種方式只適合用作小規(guī)模虛擬主機(jī)的 FTP 服務(wù)，用戶多了還是換別的方式好，不過我個(gè)人覺得這個(gè)性能的影響不會太大，因?yàn)楫吘惯@個(gè) FTP 只是提供給網(wǎng)站管理員上傳網(wǎng)站的，而這種動作并不會太頻繁。
因此，根據(jù)官方文檔的指示，只需新建一個(gè) FTP 站點(diǎn)，把主目錄指向放置虛擬主機(jī)網(wǎng)站文件的目錄，比如此主目錄為 D:\，這個(gè) D 盤的就是安裝系統(tǒng)是分出來專門放置網(wǎng)站的盤符。創(chuàng)建 D:\LocalUser 目錄，這里要注意一點(diǎn)，F(xiàn)TP 站點(diǎn)主目錄指向的應(yīng)該是 LocalUser 目錄的上級目錄，也就是 D:\，而不能指向 D:\LocalUser。
FTP 設(shè)置主要有這么一些：
到這里 FTP 服務(wù)就搞定了，后面添加任何虛擬主機(jī)和帳戶時(shí)都不再需要重新設(shè)置了。比如添加一個(gè)帳戶名為 user 的帳戶后，只要在 D:\LocalUser 目錄下建立一個(gè)同名目錄(user)即可，IIS 6.0 的 FTP 會自動將這個(gè)目錄識別為該用戶的根目錄。
下面要進(jìn)行 IIS 6.0 HTTP Server 的設(shè)置了。
首先可以右鍵點(diǎn)擊 網(wǎng)站，選屬性，調(diào)整這里的總設(shè)置，相當(dāng)于默認(rèn)設(shè)置?？赡苄枰{(diào)整的有：
之后還需要在 Web 服務(wù)擴(kuò)展 中開啟 Active Server Pages。
IIS 6.0 還有一個(gè)地方很多人可能都希望調(diào)整一下，那就是上傳數(shù)據(jù)的大小限制。先停止 IIS 服務(wù)，然后找到 C:\WINDOWS\system32\inetsrv\MetaBase.xml 文件，定位里面的 ASPMaxRequestEntityAllowed 處。默認(rèn)為 204800 即 204800 字節(jié)(200KB)，修改為想要的數(shù)字如：2048000(即 2MB)。修改后重啟 IIS 服務(wù)即可。
接下來要進(jìn)行一個(gè)與 ASP 相關(guān)的極其重要的安全設(shè)置，那就是給 Shell.Application、WScript.Shell、WScript.Network 這三個(gè)危險(xiǎn)組件做手術(shù)。有人采用注銷、禁用或刪除的方式來對待這三個(gè)組件，我覺得這樣太殘忍了！這三個(gè)組件是操作系統(tǒng)所有的，并不是單獨(dú)屬于 ASP 的，只不過微軟當(dāng)初在設(shè)計(jì) ASP 時(shí)，愚蠢地賦予了 ASP 調(diào)用包括這三個(gè)組件在內(nèi)的一些系統(tǒng)組件的超能力。而完全謀殺這三個(gè)組件有可能導(dǎo)致將來為了某些正常目的而需要調(diào)用時(shí)出現(xiàn)問題。所以最好的做法是通過注冊表把這三個(gè)組件更名，將來要調(diào)用的時(shí)候用新名字來調(diào)用即可，而這個(gè)新名字只有你知道，所以相當(dāng)于密碼加密了。
比如，在注冊表里搜索 Shell.Application，將所有找到的匹配更名為 Shell.Application_xxx，并且把 Shell.Application.1 一并改掉，如改成 Shell.Application.1_xxx。三個(gè)組件都做這樣的修改，這只是第一步，我們要雙管齊下，修改對應(yīng)的 CLASS ID。在剛才的搜索里，記錄下來每個(gè)組件對應(yīng)的 CLSID 的值，然后把所有這些值改掉，但要注意一致性，比如 Shell.Application 的 CLSID 可能是 {13709620-C279-11CE-A49E-444553540000}，可以把它都改成 {13709620-C279-11CE-A49E-444553541234}。
這里還要對網(wǎng)站主目錄進(jìn)行一些總的權(quán)限設(shè)置，以便下級的各網(wǎng)站目錄能夠直接繼承我們定制的權(quán)限。
最后，在系統(tǒng)中添加一個(gè)用戶組 vHost，所有的網(wǎng)站管理帳戶都放在這里面，這樣的好處是方便將來統(tǒng)一對這個(gè)組進(jìn)行一些權(quán)限設(shè)置。
IIS 的統(tǒng)一設(shè)置完成了，在下面的添加賬號和網(wǎng)站時(shí)，還有一系列復(fù)雜的操作要做。
以實(shí)例說明，比如要添加一個(gè)基于域名 test.domain.com 的虛擬主機(jī)，對應(yīng)的管理帳戶是 test，依次做以下操作：
創(chuàng)建三個(gè)帳戶：test、test_iusr、test_iwam，其中 test 帳戶用于網(wǎng)站管理員上傳主頁的賬號，test_iusr 為 IIS 進(jìn)程訪問此網(wǎng)站對應(yīng)的專用 IIS 來賓帳戶，test_iwam 為啟用相關(guān)程序(如應(yīng)用程序池、.NET程序)的專用 IIS 進(jìn)程帳戶。把三個(gè)帳戶隸屬于中的 Users 組去掉，然后分別設(shè)置隸屬于至：test -> vHost 組、test_iusr -> Guests 組(當(dāng)然也可以創(chuàng)建一個(gè)專用的 iusr 組)、test_iwam -> IIS_WPG 組。三個(gè)帳戶分別設(shè)置密碼，其中的 test 帳戶密碼告知網(wǎng)站管理員用于上傳網(wǎng)站。
在網(wǎng)站主目錄(本文中就是上面提提到的 D:\LocalUser)下建立 test 目錄。接下來要設(shè)置此目錄的權(quán)限。
在 Internet 信息服務(wù)(IIS)管理器中，新建應(yīng)用程序池 AppPool_test。之后對此應(yīng)用程序池設(shè)置屬性，對話框中切換到 標(biāo)識 選項(xiàng)卡，點(diǎn)選第二個(gè)單選按鈕 配置，指定成剛才新建的 test_iwam 帳戶。
新建網(wǎng)站，對話框中 此網(wǎng)站的主機(jī)頭 填入 test.domain.com，以啟用基于域名的虛擬主機(jī)功能，路徑 指向前面新建的目錄 D:\LocalUser\test，后面的 權(quán)限 中勾選 運(yùn)行腳本。接著修改新建好的網(wǎng)站的屬性，對話框中 主目錄 選項(xiàng)卡最下面的 應(yīng)用程序池 指定剛才新建的 AppPool_test，目錄安全性 選項(xiàng)卡 編輯 身份驗(yàn)證和訪問控制，把匿名訪問的帳戶改成上面的 test_iusr，ASP.NET 選項(xiàng)卡中把 ASP.NET 版本換成用戶網(wǎng)站需要的版本。
自此一個(gè)虛擬主機(jī)就搭建完成，也完成了一個(gè)網(wǎng)站的創(chuàng)建。最后可以對網(wǎng)站做一些安全測試，比如放個(gè) ASP 探針來檢查一些設(shè)置，或者運(yùn)行個(gè)木馬看看那些危險(xiǎn)組件之類的會不會被利用。
步驟比較繁瑣，尤其重要的就是創(chuàng)建三個(gè)帳戶，以及對網(wǎng)站的幾個(gè)專用賬戶的設(shè)置、應(yīng)用程序池的設(shè)置、目錄權(quán)限的設(shè)置。這樣做并不是無懈可擊，只不過把每個(gè)網(wǎng)站的權(quán)限全部分離，不再使用 IIS 統(tǒng)一的 IIS來賓賬號和 IIS 進(jìn)程賬號。由于 ASP 語言門檻低，雖然不乏很多優(yōu)秀的程序員，但也充斥著大量的低素質(zhì)編程人員，網(wǎng)站做得漏洞百出，可以很輕易地被利用。權(quán)限分離的好處就是，即使某個(gè)網(wǎng)站被黑，黑客也沒辦法利用這個(gè)網(wǎng)站的這幾個(gè)專用帳戶去侵害其它網(wǎng)站。接下來我所要做的就是通知被黑網(wǎng)站的管理員進(jìn)行徹底的自查了。
