深入剖析Windows IIS 6.0（3）

核心提示： 如果要为某个程序启用Web服务扩展，首先打开IIS管理器（在“控制面板”→“管理工具”中，深入剖析Windows IIS 6.0（3）(2)，以前叫做Internet服务管理器或ISM），如图一，能够将基于硬件的安全套接字层（SSL

如果要为某个程序启用Web服务扩展，首先打开IIS管理器（在“控制面板”→“管理工具”中。以前叫做Internet服务管理器或ISM），如图一，点击“添加一个新的Web服务扩展”，启动向导创建一个新的规则。为规则指定一个名字，然后找到想要启用的执行文件。另外，\system32\inetsrv下有一个iisext.vbs脚本，它也能够配置并管理运行带有IIS 6.0的Windows Server 2003的Web服务扩展、应用程序和单独的文件。管理员可以使用此脚本来启用和列出应用程序；添加和删除应用程序依赖性；启用、禁用和列出 Web 服务扩展；添加、删除、启用、禁用和列出单独文件。

图一　　在图一中，注意“所有未知ISAPI扩展”和“所有未知CGI扩展”这两种Web服务扩展。默认情况下，这两种扩展是禁用的，意味着除非明确地允许一个应用在IIS 6.0上运行，否则它就不能运行。如果一个用户请求了某个没有启用的文件，IIS 6.0将向用户返回404错误——文件或目录没有找到，同时在W3SVC日志中记录“404.2文件或目录无法找到：锁定策略禁止该请求”。在IIS 6.0中，404.2和其他子状态代码是W3SVC日志文件的一项可选功能，用来帮助排解故障、疑难（IIS 5.0和IIS 4.0中也有子状态代码，不过不会在日志文件中记录，但可以将它们转到定制的错误页面，便于根据子状态代码执行特殊的处理）。IIS 6.0的子状态代码很有用，它们提供了描述问题的详细信息，例如：403.20，禁止访问：Passport登录失败；403.18，禁止访问：无法在当前应用程序池中执行请求的URL；404.3，文件或目录无法找到：MIME映射策略禁止该请求；500.19，服务器错误：该文件的数据在配置数据库中配置不正确。所有这些错误和其他错误都映射到定制的错误页面，错误页面不会把子状态代码发送给用户，攻击者无法获知具体的错误信息。

另一个安全方面的改进之处是IIS 6.0允许指派一个加密服务提供者（Cryptographic Service Provider，CSP），能够将基于硬件的安全套接字层（SSL）加速器集成到IIS 6.0，从而把加密任务从服务器的通用CPU转移到了专门为加密操作而优化的专用设备，有利于提高性能和可靠性。