IIS서버 기본 보안 셋팅

1. webroot 밖에 디렉토리 만듬
- C:Inetpubhome

2. Sample 파일 삭제
- /samples/
- /iissamples/
- /msadc/samples/
- /scripts/samples/Sample/
- /scripts/iisadmin/adsamples/

3. 잔여 파일 삭제
- *.bak , *.old , *.tmp , *.temp , *.backup , *.??0
- ws_ftp.log

4. 비사용 스크립트 & 실행파일 삭제
- 실행가능한 cgi-bin/ & 비사용 scripts
- 실행파일 (예: counter.exe)

5. FrontPage Server Extension 제거

- 예) /_vti_bin/shtml.dll/_vti_rpc
- 예) /_vti_bin/_vti_aut/author.dll

6. 취약성 패치/제거/변경
- CGI Scanner로 정규적인 스캔
- 발견 즉시 패치, 제거, 이름 변경

7. 비사용중인 가상 디렉토리 제거
- 웹사이트가 아닌 가상디렉토리 삭제
- 비사용 원격관리자 서비스 - IISAdmin 비맵핑

8. 업그레이드 전 항상 Uninstall
- 업그레이드가 이전 버전 취약성을 남긴 채 설치
- 예) http://www.server.com/scripts/iisadmin/ism.dll?
http/dir

9. 웹서버와 개발 서버 분리
- IP 주소 제한
- 합리적인 ACLs

10. 웹호스팅 파일 검사
- 잘 알려지지 않은 취약한 CGI 스크립트