若網站中有那種需要讓使用者上傳檔案的目錄，都一律建議將這些目錄設定成完全沒有執行權限，在早期的 IIS6 要將特定目錄的執行權限設定為「無」是非常直覺的（如下圖示），不過由於 IIS7 整個架構的改變反而讓許多人找不到設定「執行權限」的地方，以下就是一個小提醒，讓大家能夠設定出更安全的站台環境。
... 繼續閱讀 ...
製作網站難免會做到關於檔案上傳的功能，如果為了安全考量可能會限制其特定副檔名才能上傳，以免使用者上傳了不該上傳的檔案類型（例如 *.exe 執行檔），不過光是檢查檔案結尾的副檔名真的就安全了嗎？那可不一定！如果你現在還在使用 IIS6 的話，那你可能要小心了，因為最近知名3C連鎖賣場燦坤傳出資料外洩的案件就是因為這個弱點所致。
... 繼續閱讀 ...
昨天同事將一個 ASP.NET 4.0 的網站安裝到客戶的 IIS6 主機上 (測試環境)，結果過程非常不順利，他們曾經一度覺得客戶的主機不知道經過幾隻手蹂躪過了（因為有好多人在共用 Administrator 帳號）進而產生排斥安裝在客戶主機以及 “為什麼我們要用 ASP.NET 4” 的感覺，不過在一群人的努力之下最後還是克服了困難，我特別因此寫下筆記，相信這些問題有其他人也可能會遇到。
... 繼續閱讀 ...
前陣子曾經有段時間無法理解網路負載平衡管理員中的「清空停止」功能到底是如何運作的，因為依照官方的說法原本應該非常簡單的：”當清空時，主機繼續處理已開啟的連線，並且在沒有其他使用中的連線時停止叢集操作”，依照這段描述來看，似乎是那麼的合情合理，而且非常適合在正式的環境使用，但我之前只要使用清空停止功能時卻沒有一次可以正常的「停止」，永遠都處理「正在清空」的階段。
... 繼續閱讀 ...
前陣子有人問說 IIS7 靜態內容壓縮為何無法運作，當我抽空研究之後發現一些有趣的現象，在 IIS7 的靜態內容壓縮功能在第一次透過瀏覽器下載網頁時並不會進行壓縮，而是要有第二次 HTTP Request 時才會對該內容進行壓縮，而這個時候才會真的耗用 CPU 資源進行檔案壓縮，壓縮完之後才會將壓縮內容回應到用戶端。
... 繼續閱讀 ...
最近將 IIS7 的 URL Rewrite Module 1.1 升級到 URL Rewrite Module 2.0，而在啟用「共用設定」的情況下在更新 IIS 模組時必須特別小心，因為很有可能一不小心就讓所有 Web farm 網站伺服器全部中斷服務，越方便的設定可以替你帶來方便性，卻也可能替你帶來災難。
... 繼續閱讀 ...
在去年底的時候曾經在客戶的網站主機收到一個 載入組態檔時發生錯誤: 無法開始監視 '\\10.0.1.1\Shared\8666-f79049226252' 的變更，因為已經到達網路 BIOS 命令限制 的錯誤，當時並不知道是什麼問題，只知道重新啟動 IIS 或回收應用程式集區就會恢復正常，但最近已經瞭解了問題發生的主因。
... 繼續閱讀 ...
在多年以前 SSL 第二版 (v2) 就已經被證實有編碼加密方面的瑕疵，因此駭客很輕易的就能對 SSL v2 加密過的封包進行反解，或可能會透過中間人攻擊(Man-in-the-middle attack)手法加害於你的網站用戶，因此大多數的資安掃瞄軟體皆會建議在伺服器上關閉 SSL v2 的協定，以確保用戶端透過 SSL ( HTTPS ) 連上網站伺服器時是安全的連線。
... 繼續閱讀 ...