微软的IIS和SQL服务器通常是基于Windows的分布式应用环境的主要部分。这就意味着它们也是最经常受到攻击的目标。在本文中，我们将提供提高这些产品安全性的一些具体建议。
提高IIS安全性的建议
IIS中有一个称作ISAPI的编程接口，这个编程接口与那些以DLL为扩展名的文件有关。这些文件也称作ISAPI扩展。
ISAPI是(Internet Server API)的缩写，是微软IIS web服务器的一个应用程序编程接口(API)，因为ISAPI与Web服务器结合的更紧密，这使程序员可以通过使用ISAPI开发出比传统CGI技术执行效率更高的基于web的应用程序。除了微软的IIS之外，还有其它一些厂商的Web服务器产品也支持ISAPI接口。
ISAPI扩展负责处理如活动服务器页(ASP)、. NET网络服务和基于网络的打印共享等功能。然而，很多这些扩展功能都是不必要的，特别是在你使用IIS 5.0以前版本的时候。这个问题是许多这种扩展(过滤器)都存在可以利用的安全漏洞。臭名昭著的“红色代码”就是利用这些扩展功能的一种恶意程序的例子。你可以仅仅启用网络服务器和应用程序需要的那些ISAPI扩展，严格限制能够与各种扩展功能一起使用的HTTP选项。
在IIS中设置ISAPI选项
大多数IIS安装都包括一些简单的应用程序和旨在展示这个网络服务器功能的脚本。它们在设计上并不是很好的考虑了安全，特别是在5.0版本之前。这样，人们利用这些程序的安全漏洞就可以覆盖服务器上的文件或者远程阅览，甚至远程访问敏感的服务器信息，如系统设置和指向可执行程序的路径。在设置任何IIS服务器投入正式使用之前，你至少应该删除 “/InetPub/iissamples”目录，删除、移动“/InetPub/AdminScripts”管理员脚本目录或限制对它的访问。微软的 IIS安全工具IIS Lockdown Tool对于加强IIS安全是非常有用的。
