例如：添加test为某一网站访问用户。
②设置站点文件夹的权限
然后，打开internet信息服务管理器。找到相应站点。右击，选择“权限”
选择权限后
只保留一个超级管理员administrator(可以自己定义)，而不是管理员组administrators。和系统用户(system)，还有添加访问网站的用户。可以点击“添加”将刚才在系统创建的用户(如test)添加里面。然后勾选该用户（test）读取和运行、列出文件夹目录、读取、写入的权限。超级管员(administrator)”完全控制”，系统用户（system） “完全控制”权限。并且选择用户(test)?“高级”
点击“应用”后，等待文件夹权限传递完毕。
然后点“确定”。
注意：
③设置访问用户。
右击 站点 属性==》目录安全性==》编辑， 将刚才添加的用户(如test)添加到匿名访问用户。密码和添加用户时密码一致。
④设置站点访问权限。
右击要设置的站点。属性==》主目录 本地路径下面只选中 读取 记录访问 索引资源
其它都不要选择。执行权限 选择 “纯脚本”.不要选择“脚本和可执行文件”。
其它设置和就是iis站点的一般设置，不再多说。
注意：对于 ASP.NET 程序，则需要设置 IIS_WPG 组的帐号权限、上传目录的权限设置。这时需要注意，一定要将上传目录的执行权限设为“无”，将文件夹的写入权限选上,这样即使上传了 ASP、PHP 等脚本程序或者 exe 程序，也不会在用户浏览器里触发执行,
对于纯静态网站(全部是html)将(纯脚本)改成(无)。
对于某些程序可能要求everyone有完全控制的权限，可以将网站访问用户(如test用户)对文件夹设置完全控制的权限就行了，并不需要添加everyone来设置完全控制。
七、数据库安全设置
一定要设置数据库密码。
另外。对于sql数据库建议卸载扩展存储过程xp_cmdshell
xp_cmdshell是进入操作系统的最佳捷径，是数据库留给操作系统的一个大后门。请把它去掉。使用这个SQL语句：
use master
sp_dropextendedproc ‘xp_cmdshell'
如果你需要这个存储过程，请用这个语句也可以恢复过来。
sp_addextendedproc ‘xp_cmdshell', ‘xpsql70.dll
无论mysql还是sqlserver都要低权限运行，默认都是system最高权限运行了
具体的可以参考如下文章：
//www.jb51.net/article/27202.htm
//www.jb51.net/article/52640.htm
八、防止access数据库被下载
在IIS属性 ——主目录——配置——映射——应用程序扩展那里添加。mdb文件的应用解析。注意这里的选择的D LL不要选择asp.dll,找一个映射里面不使用的dll文件。
九、利用防火墙限制端口。
对外只打开自己需要的端口，对于vps用户，需要打开网站服务端口80，远程登录端口3389，景安公司提供的密码修改服务端口6088,如果使用的有serv_u等ftp服务软件，需要打开21端口。
