Microsoft IIS 真的如此「不安全」吗？(1)

你的Windows 2000 /Internet Information Server （IIS） 5.0 Web 网站已经架设起来，准备开始运作时，却发现它被安全漏洞所困扰着。安全性方面的漏洞当然可以弥补，但那要看你如何去应对。如果怀有恶意的骇客还没有找到那些看不见的裂缝，这并不意味着你可以高枕无忧。他们可能只是还没有发现到你的网站而已。

那么，这套最先进的操作系统和网络服务器软件怎么可以如此的不完善呢？事实不是这样的。原来有很多安全缺口归因于 Microsoft 在 IIS 中所提供的功能。如果适切的注意到这些属性，它们将允许客制化（customization）的运用，在执行上更具弹性。但是当它们被忽略、误解或不正确的使用时，它们就会成为受攻击的弱点。

这些弱点所造成的影响可以是非常重大的。其中一个能使入侵者完全存取存放在网上的档案文件系统。另一个使入侵者能够看到 Active Server Pages（ASP）的原始码。还有一个允许入侵者在网络服务器上执行操作系统命令。

也许这看起来像是 IIS 的问题，这并不意味着其它的网络服务器能够提供比 IIS 更严谨的安全性。Robichaux & Associates 安全顾问暨 Microsoft Technet 的专栏作家 Paul Robichaux 就表示，Windows 2000 系列的网络服务器并不比其它服务器容易受到攻击，几乎所有的服务器都有各自的安全漏洞。

盛名所累成众矢之的

Carnegie-Mellon University 的CERT Coordination Center 是一个致力于提高网络安全、也是网上安全问题的极具指针性的一个网站。这个网站所报导的，是困扰着所有网络服务器和相关产品的安全漏洞议题。

讽刺的是，知名度可能是促使 IIS 5.0 比Apache 等其它服务器更容易暴露安全漏洞的原因。看起来，IIS 作为微软的网络旗舰产品，它的知名度足以吸引许多骇客的注意力。

所以坏消息就是，如果你只是简单地执行 IIS，被骇客盯上的机率会比较大。好消息是，只要充分了解 IIS 并采取适当的保护措施，便可以有效阻止骇客的入侵。但 Robichaux 警告说，修补安全漏洞不像按下一个标有「安全的网站」的按钮那么的简单，保护你的网站可是需要新的技巧和工具。