ASP.NET ASPXSpy安全设置的防御方法（终极和一般防御）

终极防御（cmdshell、iis spy、process、services、userinfo、sysinfo、regshell）
可能影响个别网站正常运行，请测试网站无问题再正式使用这方法。
网站asp.net version切换成2.0.50727
c:\windows\microsoft.net\framework\v2.0.50727\config\web.config
<location allowoverride="true">  修改成  <location allowoverride="false">
<trust level="full" originurl="" />  修改成  <trust level="high" originurl="" />
c:\windows\microsoft.net\framework\v2.0.50727\config\web_hightrust.config
删除  <securityclass name="registrypermission" description="system.security.permissions.registrypermission, mscorlib, version=2.0.0.0, culture=neutral, publickeytoken=b77a5c561934e089"/>
----------------------------------------------------------------------------
----------------------------------------------------------------------------
一般防御（以下方法还没办法禁用process、regshell，经了解星外虚拟主机管理系统也没有禁掉）
1、禁止跨站、services(4也可行)
为每个网站新建一个系统用户如web_xxx，只属于guests组、iis_wpg组。
新建网站文件夹xxx，加入web_xxx权限。
新建应用程序池xxx，属性-标识-配置，输入web_xxx账户密码。
新建网站xxx，属性-主目录-应用程序池，选择xxx。属性-主目录-目录安全性-编辑，输入web_xxx账户密码。
2、禁止cmdshell
原理:文件夹 给运行权限就不给写入权限、给写入权限就不给运行权限。
设置权限时必须应用到所有子目录。

网站文件夹配置权限如图

一般大部分默认系统盘的文件夹，web_xxx没有写入权限，所以只需修改部分文件夹。

同时，自己新建的文件夹或者软件安装生成的文件夹都需要检查、按"原理"修改。

以下为部分可写可执行文件夹

c:\inetpub

c:\recycler

c:\wmpub

c:\php

c:\documents and settings\all users\application data\

c:\documents and settings\all users\documents\

c:\windows\temp\

c:\windows\iis temporary compressed files

c:\windows\system32\microsoftpassport

c:\windows\microsoft.net\framework\v1.1.4322\temporary asp.net files

c:\windows\microsoft.net\framework\v2.0.50727\temporary asp.net files

c:\windows\system32\inetsrv\asp compiled templates

c:\program files\zend\zendoptimizer-3.3.0

至少取消非administrators组的运行权限，至于让不让写入，*发挥。

另外再用scanregfindwrite.aspx扫描是否还有其他可写文件夹，如果有，再判断这些可写文件夹是否有执行权限，如果有，去掉执行权限。

 3、禁止iis spy
c:\windows\system32\activeds.tlb  
只给予administrators组、system组“完全控制”，其余用户组删掉，重启iis生效。
4、禁止services(1也可行)、userinfo、sysinfo
c:\windows\system32\wbem\wmiprvse.exe
只给予administrators组、system组“完全控制”，其余用户组删掉，重启iis生效