启动/关闭 中，设置 "列表显示" 为0
锁定只允许管理员连接的网络
正常情况下，如果有骇客试图猜出 Administrator 口令, Administrator 帐号不会被锁定。然而，Windows NT Resource
Kit 提供的 PASSPROP 工具支持这个配置。如果你运行以下命令，那么在有骇客试图用较暴力的方式或使用字典攻击你
时，则 Administrator帐号将会被锁定。但是，管理员仍然可以在本地服务器上登陆: passprop /adminlockout
阻止未授权访问注册表
注册表编辑器支持远程 Windows NT 注册表访问。要想限制从网络访问注册表可使用注册表编辑器建立以下注册键
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers
\winreg设置在这个键上的ACL安全权限定义了哪些用户或组可以联结到系统上进行远程注册表访问
下面是WindowsNT的搭档IIS 4.0的一些安全配置方法
安装一个能满足你需要的最小的IIS
设置正确的Server访问控制权限
.EXE, .CGI，.DLL, .CMD, .PL 权限设置Everyone (X)，Administrators
(Full Control)，System (Full Control)
.ASP 的权限设置 Everyone (X)，Administrators (Full Control)，
System (Full Control)
.INC, .SHTML, .SHTM 的权限设置Everyone (X)，Administrators
(Full Control)，System (Full Control)
.HTML, .GIF, .JPEG的权限设置 Everyone (R)，Administrators
(Full Control)，System (Full Control) 。
正确设置虚拟目录，建议把默认安装后的那些虚拟目录删除IIS --
c:\inetpub\iissamples，IIS SDK--c:\inetpub\iissamples\sdk，Admin
Scripts--c:\inetpub\AdminScripts，Data access--c:\Program Files\
Common Files\System\msadc\Samples，这些目录将给你的系统带来不必要的麻烦。
正确设置IIS日志访问权限，ACL：Administrators (Full Control)，System
(Full Control)。
适当地设置IP拒绝访问列表，防止有些讨厌的家伙攻击你的Server。
设置并使用Secure Sockets Layer
删除一些你用不上的组件，regedit XXX.dll /u。
删除这个虚拟目录IISADMPWD，因为它允许你重新设置你的管理员口令，实在是比较危险，还是不要的好。
删除一些不必要的Scipt Mapping，象.htr,.idc,. .htw .shtm, .stm, .shtml，都可以在IIS服务管理器删除。
禁止RDS的支持，因为最近发现了一个他的bug，所以最好还是禁用的好，禁用办法：删除注册表中这三个键，
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters
\ADCLaunch\RDSServer.DataFactory ；HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\
ADCLaunch\AdvancedDataFactory ；HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\
ADCLaunch\VbBusObj.VbBusObjCls 。
使用IIS登陆日志，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理。
在你的ASP页面中加入对<FORM>输入的检测，很多站点使用input语句从客户方 获取所需数据以调用其它代码或是直接建立
SQL 语句。换句话说，他们认为输入的是合法数值、格式也对没有恶意的输入。 不该这样做，有很多攻击方式是针对它
的，特别要注意的是在UNIX平台上，用户输入的不正确数据被认做合法数据来处理， 这样用户不是获得了对服务器的访问
权限就是给系统造成损害。你应该在把用户数据传送到其它进程或在调用可能使用外部资源如文件系统或数据库之前总要
对所有用户在 <FORM> 中的输入进行检查。
可以使用新版 JScript 和 VBScript 正规表达式来处理输入的文字，以下所示代码会把字符串中无效字符(不是0-9a-zA-Z
和_)分离出来。
Set reg = New RegExp
reg.Pattern = "\W+" ' One or more characters which are NOT
0-9a-zA-Z or '_'
strUnTainted = reg.Replace(strTainted, "")
以下例子会把所有位于
关键词：WindowsNT4.0+IIS4.0安全设置向导（转）