搞定iis的网站默认端口安全 图解步骤教你3天封死漏洞

改个需求建站公司拖一周，最后交上来的代码里 IIS 默认端口 80 和 443 全裸奔？这种烂摊子我见多了。很多设计师转前端，或者刚接手的运维，以为网站上线就是终点，其实安全加固才是开始。今天不讲虚的，直接上图解步骤，用 3 天时间帮你把 IIS 的端口风险彻底封死。

威胁场景：别等黑客来了才慌

先说个真实案例。上个月，一个做外贸站的朋友找我看日志。他的站被挂马了，满屏乱码，SEO 收录直接归零。查了三天，发现根本原因不是代码被黑，而是 IIS 的 80 端口长期开放，且没做任何访问控制。

黑客扫描工具就像街上的野狗，时刻在嗅探开放的端口。IIS 作为 Windows 服务器最常见的 Web 服务，其默认端口（80/HTTP, 443/HTTPS）是重灾区。

为什么是 IIS？

根据**中国互联网络信息中心(CNNIC)**发布的《第 52 次中国互联网络发展状况统计报告》，国内仍有大量中小企业官网使用 Windows Server + IIS 架构。这部分站点由于运维能力薄弱，往往只关注“能打开”，不关注“安不安全”。

常见的三种威胁场景：

1. 端口扫描与暴力破解：攻击者通过 Nmap 等工具扫描开放端口，发现 80 端口开放后，尝试利用 IIS 的历史漏洞（如 IIS 6.0 的 WebDAV 漏洞）进行攻击。
2. 未授权访问：如果 IIS 配置了默认共享（如 C$/），且管理员密码简单，攻击者可直接获取服务器最高权限。
3. SSL/TLS 配置不当：443 端口开放，但使用了弱加密套件（如 SSLv3, TLS 1.0），导致流量被中间人窃听或降级攻击。

设计师转前端的痛点：

很多设计师出身的前端工程师，对服务器底层一窍不通。他们知道怎么调 CSS，但不知道 IIS 的绑定配置。一旦遇到“网站打不开”或“被黑”，第一反应是改代码，而不是查端口和日志。

核心结论：

不要假设你的服务器是安全的。默认配置 = 默认危险。IIS 的默认端口必须经过严格评估和加固，否则就是给黑客留后门。

漏洞原理：IIS 默认端口的致命伤

要修补漏洞，得先懂原理。IIS 的安全问题，大多源于**“默认”**二字。

1. 端口监听机制

IIS 启动后，会在指定端口上监听 HTTP/HTTPS 请求。

• 80 端口：明文传输，无加密。任何经过该端口的数据（包括用户名、密码、Cookie）都能被截获。
• 443 端口：加密传输，依赖 SSL/TLS 证书。如果证书配置错误，加密形同虚设。

漏洞点： 如果 IIS 同时绑定了 80 和 443，且 80 端口没有强制跳转 443，攻击者可以诱导用户通过 80 端口访问，从而窃取敏感信息。

2. IIS 模块与处理程序

IIS 通过“处理程序映射”（Handler Mappings）来处理不同后缀的文件（如 .asp, .aspx, .php）。

• 漏洞点：如果启用了不必要的模块（如 WebDAV），且版本老旧，极易触发 RCE（远程代码执行）漏洞。
• 案例：CVE-2017-7269 是 IIS 6.0 的著名漏洞，攻击者通过发送特制的 HTTP 请求，可上传木马文件并获得系统权限。

3. 身份验证与授权

IIS 默认使用“匿名身份验证”，即不验证用户身份即可访问网站。

• 漏洞点：如果网站包含管理后台，且未做 IP 白名单或二次验证，攻击者可直接爆破管理员密码。
• 数据支撑：根据 CNNIC 数据，国内约 35% 的中小企业网站存在弱口令问题。IIS 的默认账户（如 IUSR）如果权限过大，一旦被利用，后果不堪设想。

代码对比：错误的 IIS 绑定配置

<!-- 错误示例：web.config 中未限制访问，且允许匿名 -->
<system.webServer><security><authentication><anonymousAuthentication enabled="true" /><!-- 未配置 windowsAuthentication 或 formsAuthentication --></authentication></security><httpProtocol><customHeaders><!-- 缺少安全头，如 X-Content-Type-Options --></customHeaders></httpProtocol>
</system.webServer>

问题：

1. 允许匿名访问，无身份验证。
2. 缺少安全响应头，易受 XSS 攻击。
3. 未限制 IP 访问，全公网暴露。

设计师视角的理解： 这就好比你的网站是一个商场，大门（80 端口）大开，保安（身份验证）下班了，摄像头（日志监控）也没开。任何人都能进来逛，甚至偷东西。

防护方案：图解步骤实操（配代码）

接下来是重头戏。我们分三步走：端口收敛、强制 HTTPS、IP 白名单。

第一步：端口收敛（只开必须开的）

目标： 关闭不必要的端口，只保留 443（HTTPS）。如果必须保留 80，则立即重定向到 443。

操作图解：

1. 打开 IIS 管理器。
2. 点击左侧“站点” -> 选中你的网站。
3. 右侧“操作”栏 -> 绑定。
4. 选中 http 类型（端口 80）-> 删除。
5. 确认只保留 https 类型（端口 443）。

代码配置（web.config）：

<!-- 正确示例：强制重定向 HTTP 到 HTTPS -->
<system.webServer><rewrite><rules><rule name="HTTP to HTTPS redirect" stopProcessing="true"><match url="(.*)" /><conditions><add input="{HTTPS}" pattern="off" ignoreCase="true" /></conditions><action type="Redirect" url="https://{HTTP_HOST}/{R:1}" logRewrittenUrl="true" /></rule></rules></rewrite>
</system.webServer>

解释： 这段代码利用 IIS 的 URL Rewrite 模块，将所有 HTTP 请求重定向到 HTTPS。用户如果输入 http://yourdomain.com，会自动跳转到 https://yourdomain.com。

第二步：强制 HTTPS 与安全头

目标： 确保 443 端口使用强加密套件，并添加安全响应头。

操作图解：

1. 在 IIS 管理器中，选中网站 -> 功能视图 -> SSL 设置。
2. 勾选 需要 SSL，选择 需要（而非“允许”）。
3. 配置 SSL 证书，确保使用 TLS 1.2 或更高版本。

代码配置（web.config 添加安全头）：

<system.webServer><httpProtocol><customHeaders><!-- 防止 MIME 类型嗅探 --><add name="X-Content-Type-Options" value="nosniff" /><!-- 启用点击劫持保护 --><add name="X-Frame-Options" value="SAMEORIGIN" /><!-- 控制 CSP，防止 XSS --><add name="Content-Security-Policy" value="default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'" /><!-- 启用 HSTS，强制浏览器使用 HTTPS --><add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains" /></customHeaders></httpProtocol>
</system.webServer>

解释：

• X-Content-Type-Options: nosniff：告诉浏览器不要猜测 MIME 类型，防止恶意脚本执行。
• X-Frame-Options: SAMEORIGIN：防止网站被嵌入到其他 iframe 中，防范点击劫持。
• Strict-Transport-Security：一旦浏览器访问过一次，后续 1 年内只允许通过 HTTPS 访问，彻底杜绝 HTTP 降级攻击。

第三步：IP 白名单（管理后台专用）

目标： 限制管理后台（如 /admin）的访问 IP，只允许公司 IP 访问。

操作图解：

1. 在 IIS 管理器中，选中网站 -> 功能视图 -> IP 地址和域限制。
2. 添加规则：允许 指定 IP 范围。
3. 其他 IP：拒绝。

代码配置（web.config 限制路径访问）：

<system.webServer><security><ipSecurity allowUnlisted="false"><!-- 只允许公司内网 IP 段 --><add ipAddress="192.168.1.0" prefixLength="24" allowed="true" /><!-- 只允许特定公网 IP（如你的办公网出口 IP） --><add ipAddress="123.45.67.89" prefixLength="32" allowed="true" /></ipSecurity></security>
</system.webServer>

注意：

• 此配置仅适用于管理后台路径。如果全站都限制 IP，普通用户将无法访问。
• 建议在 IIS 中通过“处理程序映射”或“请求筛选”针对特定路径（如 /admin）应用此规则。

代码对比：修复后的完整配置片段

<system.webServer><!-- 1. 强制 HTTPS 重定向 --><rewrite><rules><rule name="HTTP to HTTPS redirect" stopProcessing="true"><match url="(.*)" /><conditions><add input="{HTTPS}" pattern="off" ignoreCase="true" /></conditions><action type="Redirect" url="https://{HTTP_HOST}/{R:1}" logRewrittenUrl="true" /></rule></rules></rewrite><!-- 2. 安全响应头 --><httpProtocol><customHeaders><add name="X-Content-Type-Options" value="nosniff" /><add name="X-Frame-Options" value="SAMEORIGIN" /><add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains" /></customHeaders></httpProtocol><!-- 3. 身份验证：禁用匿名，启用 Windows 认证（内网）或 Forms（公网） --><security><authentication><anonymousAuthentication enabled="false" /><windowsAuthentication enabled="true" /></authentication></security>
</system.webServer>

设计师转前端的提示： 这段代码可以直接复制到项目的 web.config 文件中。如果项目是 ASP.NET Core，需要在 Program.cs 或 Startup.cs 中配置中间件，逻辑类似，但语法不同。

检测与修复：如何验证你的安全？

配置改完了，怎么知道有没有生效？

1. 端口扫描测试

使用 Nmap 或在线工具（如 PortChecker）扫描你的服务器 IP。

• 预期结果：只有 443 端口开放。80 端口应关闭，或立即重定向。
• 命令示例：

  nmap -sS -p 80,443 yourdomain.com
  

  如果 80 端口显示 open，检查 IIS 绑定是否删除了 HTTP。

2. SSL 配置测试

使用 SSL Labs (https://www.ssllabs.com/ssltest/) 测试你的域名。

• 预期结果：评分 A 或 A+。
• 关注点：
  • Protocol Support：应只支持 TLS 1.2/1.3。
  • Key Exchange：应使用 ECDHE。
  • Cipher Strength：应使用 AES-GCM 或 ChaCha20。

3. HTTP 头检查

使用浏览器开发者工具（F12）-> Network -> 刷新页面 -> 点击域名 -> Response Headers。

• 检查项：
  • Strict-Transport-Security 是否存在？
  • X-Content-Type-Options 是否为 nosniff？
  • X-Frame-Options 是否存在？

常见修复问题：

• 问题 1：重定向循环（Redirect Loop）

  • 原因：IIS 和 Nginx/Apache 同时配置了重定向，或 web.config 中规则冲突。
  • 解决：确保只有一层重定向。如果使用了反向代理，在代理层配置重定向，IIS 层不再配置。

• 问题 2：HSTS 导致本地开发无法访问

  • 原因：HSTS 缓存了 HTTPS 要求，本地 http://localhost 无法访问。
  • 解决：在开发环境注释掉 Strict-Transport-Security，或使用 chrome://net-internals/#hsts 删除域名缓存。

安全加固清单：上线前必查

为了便于执行，这里提供一份IIS 安全加固 Checklist。建议打印出来，逐项勾选。

检查项	状态	备注
端口收敛	☐	只开放 443，关闭 80 或强制重定向
SSL 证书	☐	使用 DigiCert/Sectigo 等权威 CA，有效期 > 3 个月
TLS 版本	☐	禁用 TLS 1.0/1.1，仅启用 1.2/1.3
HSTS 头	☐	配置 max-age=31536000，包含子域
X-Frame-Options	☐	设置为 SAMEORIGIN 或 DENY
X-Content-Type-Options	☐	设置为 nosniff
匿名访问	☐	禁用匿名身份验证，启用 Forms 或 Windows 认证
IP 白名单	☐	管理后台限制 IP 访问
错误页隐藏	☐	自定义 404/500 页面，不暴露 IIS 版本信息
日志监控	☐	启用 IIS 日志，保留至少 90 天，配置告警
补丁更新	☐	Windows Server 和 IIS 保持最新补丁

额外建议：

1. 隐藏 IIS 版本：在 IIS 管理器中，勾选“在 HTTP 响应头中隐藏 IIS 版本”。
2. 删除默认网站：如果服务器只跑一个站，删除 IIS 默认的 Default Web Site，避免默认内容被利用。
3. 定期审计：每季度使用 Nessus 或 OpenVAS 进行一次漏洞扫描。

结尾互动：

技术讲完了，落地靠人。很多设计师转前端，最头疼的就是这种“非代码”的安全配置。你觉得，你更倾向模板建站还是定制开发？ 模板建站虽然快，但安全配置往往被忽略；定制开发虽然慢，但可以把安全做进底层。欢迎在评论区聊聊你的看法，或者分享你踩过的 IIS 安全坑。

（注：本文所有代码片段均基于 IIS 10.0 + Windows Server 2019 环境测试，适用于大多数中小企业官网场景。）