ASP中FSO对象对IIS WEB服务器数据安全的威胁及对策(2)

但是这些对数据安全的威胁的前提条件是执行 ff.asp 的用户至少拥有读取目录和文件的权限。由于 windows nt server 在安装后的默认安全设置是所有用户都可以“读取”目录和文件，所以不管是 iis 默认的你名用户 iusr_servername 还是别的什么用户，都可以顺列的读取目录和文件的信息。而大多数 windows nt server系统管理员主要关心系统是否能够运行的起来，一般不愿意去改动默认的目录和文件权限，毕竟那样做要冒很大的风险，而且需要很多次得经验。所以，我们可以用 filefinder 来检查作为 web 服务器的 nt server 的文件系统的安全设置是否安全。

作者专门对作为 iis web 服务器的文件系统的权限进行了人工设置，但限于没有经验，导致了许多奇怪的错误现象，如：所用的做实验的 nt server 4.0 不能进行 access 数据库的连接。而在进行文件系统权限改动之前，这些功能是正常的。

本着纯粹研究的目的，作者还在我所申请的免费 asp 空间上作了试验（包括 csdn 提供的我的个人主页），结果是 filefinder 都可以顺利运行。而在http://www2.domaindlx.com/index.html 申请的个人主页却没有这个问题，可见这个免费 asp 主页提供商在这方面做的还是比较认真的。尽管 domaindlx 的 web 服务器运行在 windows 2000 server 上的，其默认的文件系统的安全权限和 nt 4.0 没有很大的差别。

由于作者的能力有限，就对这个问题讨论到这里。仅以此文来向国内的 asp 主页提供商提供参考意见，希望能对提供商和客户双方的数据安全都有所帮助。

附：用其它类似的服务器端脚本来运行的 web 服务，如果也提供类似 scripting.filesystemobject 的对文件系统操作的功能，不管什么平台应该存在同样的问题。