IIS安全加固需三层面同步收紧：一是禁用TRACE/DEBUG等危险HTTP动词、限制脚本映射谓词为GET/HEAD/POST、拒绝.config等敏感扩展；二是全局启用requestValidation和HtmlEncode输出编码；三是配置URL重写拦截SQLi/XSS载荷，并限制数据库账户仅db_datareader/db_datawriter权限。
在Windows服务器上部署IIS时，若未对Web应用层和服务器配置做针对性加固，攻击者可轻易通过构造恶意URL触发SQL注入或XSS漏洞，直接读取数据库、窃取管理员Cookie甚至接管服务器。必须从IIS本身配置、ASP.NET运行时策略、静态资源处理三个层面同步收紧，缺一不可。
禁用危险HTTP动词与默认脚本映射
第一步：打开IIS管理器 → 选择服务器节点 → 双击「请求筛选」→ 切换到「HTTP动词」选项卡 → 勾选「不允许未列出的动词」→ 点击「编辑功能设置」→ 取消勾选「TRACE」「TRACK」「DEBUG」→ 确定保存。
第二步：在左侧树形菜单中展开站点 → 右键「处理程序映射」→ 左侧操作栏点击「查看有序列表」→ 找到所有扩展名为 .asp、.aspx、.axd 的映射项 → 检查其「谓词」列是否为「GET,HEAD,POST,DEBUG」；若含「*」或「ALL」，双击该项 → 在「谓词」字段手动改为「GET,HEAD,POST」→ 点击确定。
第三步：返回「请求筛选」→ 切换到「文件扩展名」选项卡 → 找到 .config、.cs、.vb、.bak、.old 等敏感扩展名 → 右键「拒绝」。这一步【必须执行】，否则攻击者可直接下载web.config明文获取数据库连接字符串。
强制启用请求验证与输出编码（ASP.NET场景）
方法一：全局启用（推荐）
打开网站根目录下的 web.config → 在
方法二：页面级控制（仅限可信后台）
在具体 .aspx 页面顶部添加指令：
注意：此设置不能关闭，除非该页面明确只接收纯数字ID类输入，且后端已做完整参数化查询。
方法三：输出时强制HTML编码
所有将用户输入内容写入响应流的位置（如 Response.Write、），必须包裹 HtmlEncode：
Response.Write(HttpUtility.HtmlEncode(Request.QueryString["q"]));
不这样做会导致反射型XSS在搜索框、错误提示页等位置立即生效。
配置IIS URL重写规则拦截高危载荷
第一步：确保已安装「URL重写模块」。未安装则前往 Microsoft 官网下载 Web Platform Installer，搜索并安装「URL Rewrite 2.1」。
第二步：在 web.config 的
第三步：重启IIS服务（命令行执行 iisreset /noforce）。该规则会直接终止含 SQL 关键字或 HTML/JS 特征的请求，不返回任何响应包，避免暴露技术栈细节。
限制数据库账户权限并启用连接字符串加密
① 登录 SQL Server Management Studio → 展开「安全性」→ 「登录名」→ 右键你的Web应用专用账号（如 webapp_user）→ 「属性」→ 「用户映射」→ 只勾选应用所需数据库 → 在右侧「数据库角色成员身份」中【仅勾选 db_datareader 和 db_datawriter】，绝对不要勾选 db_owner 或 sysadmin。
② 打开 IIS 管理器 → 选择对应网站 → 双击「配置编辑器」→ 在「节」下拉框中选择 system.web/compilation → 将 debug 属性设为 False → 点击「应用」。
③ 在 web.config 中定位
命令行执行：
cd C:\Windows\Microsoft.NET\Framework64\v4.0.30319
aspnet_regiis -pef "connectionStrings" "D:\inetpub\wwwroot\your-site"
