企业网站被黑挂马怎么办？实战案例教你如何配置IIS网站安全加固
企业网站被黑挂马怎么办？实战案例教你如何配置IIS网站安全加固
网站被黑挂马不知道怎么办？你不是一个人，我之前也遇到过客户服务器被入侵后，整个网站被植入恶意代码，导致搜索引擎降权、客户信任度直线下降。今天我用一个实战案例，一步步教你如何配置IIS网站，从基础设置到安全加固，确保你的网站不再成为黑客的目标。
威胁场景：网站被黑的常见路径
很多企业网站被黑的根源，就在于IIS服务器的配置不当，漏洞未及时修补，或者缺乏基本的防护机制。以下是一个真实发生的案例：
一家外贸公司的官网使用IIS 7.5搭建，网站内容被黑客篡改，页面中植入了大量恶意JS脚本，导致百度蜘蛛抓取后直接降权，客户投诉不断。
通过分析日志发现，黑客是利用了一个未修复的IIS解析漏洞，将上传的文件伪装成图片格式，实际上却是PHP代码，最终通过路径解析漏洞执行了代码，控制了服务器。
关键点： IIS网站配置不当 + 未及时更新补丁 + 缺少输入过滤机制 = 高概率被黑。
漏洞原理：常见的IIS配置问题导致网站被黑
IIS服务器是微软的Web服务器，功能强大但配置复杂。如果配置不当，很容易成为攻击者的目标。以下是一些常见的IIS漏洞场景和对应的原理：
1. 解析漏洞（如IIS 6.0的ASP解析漏洞）
IIS在解析文件路径时，如果文件名结尾为.asp或.aspx，即使文件扩展名是.jpg，也会被当作ASP脚本执行。例如：
http://example.com/1.jpg.asp
如果文件名中包含.asp，IIS就会执行该文件，黑客可以借此上传恶意脚本。
2. 默认文档配置错误
IIS默认会读取index.html、default.aspx等文件作为首页。如果这些文件被替换，黑客就可以直接控制首页内容。
3. 缺少Web.config限制
IIS的Web.config文件可以控制访问权限和MIME类型。如果未正确配置，可能导致某些危险文件类型（如.php、.py）被误解析执行。
修复建议：
- 禁用不必要的MIME类型。
- 设置严格的文件访问权限。
- 配置IIS的
<security>和<requestFiltering>部分，防止路径穿越和非法文件类型访问。
防护方案：如何配置IIS网站加固安全
下面是一个完整的IIS网站配置加固流程，涵盖证书部署、权限控制、输入过滤等多个关键点。所有操作都基于Windows Server 2016 + IIS 10.0环境。
步骤一：部署SSL证书，启用HTTPS
HTTPS是网站安全的基础。在IIS中部署SSL证书，不仅能提升SEO排名，还能防止数据在传输过程中被截获。
1. 注册并获取SSL证书
你可以在阿里云、腾讯云、Let's Encrypt等平台申请免费或付费证书。以Let's Encrypt为例：
# 使用Certbot工具申请证书（需在Linux服务器上运行）
certbot certonly --standalone -d example.com
2. 在IIS中绑定SSL证书
- 打开IIS管理器，找到对应的网站。
- 双击“绑定”选项。
- 添加一个HTTPS绑定，选择申请的证书。
注意： 确保证书的“颁发给”字段中包含你的域名（如
example.com），否则证书无法生效。
步骤二：配置IIS权限控制
IIS权限设置不当，会导致黑客通过上传文件进行攻击。建议按照以下方式配置权限：
1. 设置网站物理路径的NTFS权限
- 只允许
IIS_IUSRS和Administrator用户访问网站目录。 - 禁用“写入”和“修改”权限，除非有特殊需求。
2. 配置IIS用户身份验证
- 建议使用Windows身份验证（Windows Authentication），禁用匿名访问。
- 或者使用Basic认证，但需要配合SSL使用，防止密码被窃听。
3. 配置IIS的URL重写规则
使用IIS的URL重写模块（URL Rewrite），可以阻止恶意请求。例如：
<rule name="Block Common Attack Patterns" stopProcessing="true"><match url=".*\.(asp|aspx|php|jsp|py|sql|pl|cgi|exe|bat|cmd|dll|phtml|shtml|shtm|hta|htx|js|vbs|jsp|jspx|php3|php4|php5|php6|pht|phtm|htm|html)$" ignoreCase="true" /><action type="AbortRequest" />
</rule>
这段规则可以阻止访问.asp、.php等文件，防止黑客通过路径解析漏洞执行代码。
步骤三：设置Web.config防护规则
IIS的Web.config文件是网站级别的配置文件，可以通过它限制访问权限和过滤请求内容。
示例：防止目录遍历攻击
<configuration><system.webServer><security><requestFiltering><hiddenSegments><add segment="web.config" /><add segment="app_data" /></hiddenSegments><fileExtensions><add fileExtension=".php" allowed="false" /><add fileExtension=".asp" allowed="false" /></fileExtensions></requestFiltering></security></system.webServer>
</configuration>
这段配置可以隐藏web.config和app_data目录，并阻止访问.php和.asp文件。
示例：限制上传文件类型
<configuration><system.webServer><security><requestFiltering><fileExtensions><add fileExtension=".jpg" allowed="true" /><add fileExtension=".png" allowed="true" /><add fileExtension=".gif" allowed="true" /><add fileExtension=".zip" allowed="true" /><add fileExtension=".txt" allowed="true" /></fileExtensions></requestFiltering></security></system.webServer>
</configuration>
这段配置限制了上传文件的类型，防止黑客上传恶意代码。
检测与修复：如何判断网站是否被黑
如果你发现网站内容被篡改、首页跳转到其他页面，或者搜索引擎降权，就可能已经遭到了黑。
1. 检查网站文件
- 检查网站目录下是否有异常文件，如
index.php、shell.asp、hack.html等。 - 使用FTP或远程桌面工具登录服务器，检查文件内容。
2. 检查日志文件
- IIS日志文件通常位于
C:\inetpub\logs\LogFiles。 - 检查日志中是否有异常访问，如大量访问
/wp-admin/admin-ajax.php、/wp-login.php等路径。
3. 使用扫描工具
可以使用MDN Web Docs推荐的在线工具，如：
这些工具可以快速检测网站是否被植入恶意代码。
安全加固清单：IIS网站必备的安全配置
为了确保IIS网站的安全，建议定期执行以下操作：
| 配置项目 | 建议内容 |
|---|---|
| 启用HTTPS | 使用SSL证书，强制HTTPS访问 |
| 设置权限 | 只允许必要用户访问网站目录 |
| 禁用不必要的MIME类型 | 防止危险文件类型被执行 |
| 配置URL重写规则 | 阻止非法访问和路径穿越 |
| 设置Web.config规则 | 控制访问权限和文件类型 |
| 定期更新系统 | 保持IIS和Windows系统最新版本 |
| 定期备份网站 | 防止数据丢失 |
| 检查网站日志 | 及时发现异常访问 |