在配置iis服务器时，需要注意五点。保证安全是所有网站都必须做好的功课。如果服务器本身不安全，对网站来说是毁灭性的。
首先，安装操作系统
我这里说的操作系统以Windows 2000为例，更高版本的Windows也有类似的功能。
格式化硬盘时，一定要格式化成NTFS，千万不要用FAT32类型。
c盘是操作系统磁盘，D盘用来存放常用软件和E盘网站。格式化完成后，会立即设置磁盘权限。c盘默认，D盘的安全设置完全由管理员和系统控制。其他用户删除，E盘用来存放网站。如果只有一个网站，
将管理员和系统设置为完全控制，每个人都可以读取。如果网站上的某个代码必须要写，那么就单独更改该文件所在文件夹的权限。
在系统安装的过程中，一定要遵循最小服务的原则，不要选择无用的服务来实现系统的最小安装。在安装IIS的过程中，只安装最基本和必要的功能，绝不安装那些不必要和危险的服务。
例如：frontpage 2000服务器扩展、Internet服务管理器(HTML)、FTP服务、文档、索引服务等等。
二、网络安全配置
网络安全最基本的就是端口设置。在本地连接属性中，单击Internet协议(TCP/IP)，单击高级，然后单击选项-TCP/IP过滤。仅打开网站服务所需的端口。配置界面如下所示。
进行以下设置后，您将无法从您的服务器使用域名解析，因此您可以上网，但外部访问正常。这种设置主要是为了防止一般规模的DDOS攻击。
三、安全模板设置
运行MMC，添加独立的管理单元安全配置和分析，导入模板basicsv.inf或securedc.inf，然后点击立即配置计算机，系统会自动配置帐户策略、本地策略和系统服务等信息。
一步，但这些配置可能会导致某些软件失败或运行不正确。
第四，web服务器的设置
以IIS为例。永远不要使用IIS默认安装的WEB目录。相反，您需要在磁盘E上创建一个新目录.然后在IIS管理器中右键点击主机-属性-WWW服务编辑-主目录配置-应用映射，删除除asp和asa之外的所有内容。
动词（verb的缩写）ASP的安全性
在IIS系统中，大部分木马都是ASP编写的，所以ASP组件的安全性非常重要。
ASP木马其实是通过调用Shell来实现其功能的。应用程序，WScript。Shell，WScript。网络，FSO和Adodb。流组件。除了FSO，
其他大部分可以直接禁用。
WScript.Shell组件使用这个命令删除：regsvr32 WSHom.ocx /u
WScript.Network组件使用这个命令删除：regsvr32 wshom.ocx /u
Shell.Application可以使用禁止Guest用户使用shell32.dll来防止调用此组件。
使用命令：cacls C：\WINNT\system32\shell32.dll /e /d guests
禁止guests用户执行cmd.exe的命令是： cacls C：\WINNT\system32\Cmd.exe /e /d guests
FSO组件的禁用比较麻烦，如果网站本身不需要用这个组件，那么就通过RegSrv32 scrrun.dll /u命令来禁用吧。如果网站本身也需要用到FSO，那么请参看这篇文章。
另外，使用微软提供的URLScan Tool这个过滤非法URL访问的工具，也可以起到一定防范作用。当然，每天备份也是一个好习惯。