由 dawei Windows站点搭建后，许多运维人员只关注IIS服务是否启动、网站能否访问，却忽视了三个极易被忽略的安全断点——它们不显眼，却可能让整个站点暴露在攻击之下。
第一断点：IIS默认文档配置不当。系统默认启用index.html、default.aspx等文档，若未按业务需求精简列表，攻击者可利用目录遍历或文件枚举试探非预期入口。更隐蔽的是，当站点启用“父路径”或“目录浏览”，配合默认文档机制，可能意外暴露Web.config源码或备份文件（如web.config.bak），直接泄露数据库连接字符串与身份验证密钥。
AI生成图像，仅供参考
第二断点：ASP.NET调试模式长期开启。web.config中compilation debug=\”true\”在生产环境必须为false。开启时不仅泄露详细错误堆栈（含服务器路径、组件版本、甚至变量值），还会禁用输出缓存、降低性能，并允许远程查看源码映射（.pdb文件）。多数运维仅在部署初期检查，却未纳入上线巡检清单，导致漏洞持续存在数月。
第三断点：NTFS权限与IIS用户身份错配。IIS AppPool\\DefaultAppPool等应用池身份默认拥有高权限，若站点物理目录继承了Administrators或Users组的完全控制权，恶意上传的.aspx木马即可读写系统文件、执行命令。正确的做法是剥离所有多余组权限，仅授予对应应用池标识“读取+执行+写入（限日志或上传目录）”，并禁用IUSR账户的继承写权限——尤其当网站使用经典模式或自定义身份验证时，该问题更易被掩盖。
这三处并非高深技术难点，而是配置疏漏与流程缺失的产物。建议将它们固化为上线前Checklist：自动扫描默认文档列表长度、强制校验debug属性值、用icacls工具批量验证核心目录权限。安全不是功能上线后的补救，而是每次部署动作中不可跳过的原子步骤。