IIS6配置ASP失败，如何一步步详细排查并解决500错误？

在信息技术日新月异的今天,尽管IIS 6.0及其支持的ASP（Active Server Pages）技术已不再是主流，但在许多企业内部，依然有大量承载着关键业务的传统系统运行在Windows Server 2003和IIS 6.0平台上，掌握IIS 6.0下的ASP配置，对于保障这些遗留系统的稳定、安全运行至关重要，本文将系统性地梳理IIS 6.0中ASP配置的核心步骤、关键选项以及安全最佳实践，旨在为系统管理员提供一份清晰、详尽的参考指南。

基础准备与ASP服务启用

在进行任何ASP应用配置之前,首要任务是确保IIS 6.0已经正确安装，并且ASP服务已被允许运行，IIS 6.0出于安全考虑，默认情况下是禁用ASP服务的。

1. 打开IIS管理器：通过“开始” -> “管理工具” -> “Internet 信息服务 (IIS) 管理器”进入。
2. 启用Web服务扩展：在IIS管理器左侧的树状目录中，找到并点击“Web服务扩展”，在右侧的窗口中，您会看到一个名为“Active Server Pages”的条目，选中它，然后点击“允许”按钮，这一步是让IIS能够解析和执行.asp后缀文件的根本前提。

完成这一步后,IIS 6.0便具备了处理ASP脚本的能力，接下来就是针对具体的网站或应用程序进行精细化配置。

创建网站与配置ASP属性

一个ASP应用通常需要一个独立的网站或虚拟目录来承载,假设我们已经创建了一个网站，接下来将深入探讨其ASP属性的配置。

在IIS管理器中,右键点击目标网站或虚拟目录，选择“属性”，在弹出的对话框中切换到“主目录”选项卡，这里有几个关键设置点：

• 应用程序设置：点击“配置”按钮，会进入“应用程序配置”对话框，在“选项”选项卡下，可以调整ASP的核心行为。
  • 启用父路径：这是一个非常重要的安全选项，启用它允许ASP页面使用 语法来访问父目录，虽然这为某些旧应用提供了便利，但也带来了路径遍历的安全风险。强烈建议在非必要情况下保持禁用状态。
  • 启用客户端脚本：允许在服务器端生成客户端脚本（如JavaScript）。
  • 启用会话状态：决定是否使用Session对象来跟踪用户，可以根据应用需求调整会话超时时间（默认为20分钟）。
  • 启用缓冲：默认启用，这意味着服务器端脚本会先完全处理，再将整个页面一次性发送给客户端，这能显著提升性能，禁用后，脚本处理一部分就会发送一部分，通常只在需要实时显示大量处理进度的特殊场景下使用。
• 执行权限：在“主目录”选项卡中，有一个“执行权限”下拉菜单。
  • 无：不允许运行任何脚本或可执行文件。
  • 纯脚本：只允许运行脚本文件，如ASP、ASP.NET等，这是最常用且最安全的选择。
  • 脚本和可执行文件：允许运行脚本和服务器上的可执行程序（如.exe, .dll），除非应用有特殊需求（例如调用CGI程序），否则不应选择此项，因为它会扩大攻击面。

权限配置与安全加固

权限是IIS配置中的重中之重,错误的权限设置是导致安全漏洞的主要原因，IIS权限需要与文件系统（NTFS）权限协同工作，才能构建起有效的安全防线。

IIS权限与NTFS权限的关系

IIS权限是用户通过浏览器访问时,IIS服务首先检查的权限，它相对粗粒度，主要控制是否允许“读取”、“写入”、“脚本访问”等，而NTFS权限是操作系统层面的，更为精细，它决定了运行IIS进程的账户（如Network Service）对服务器上物理文件和文件夹的实际操作权限。

一个请求必须同时通过IIS和NTFS两道权限检查才能成功,最佳实践是遵循“最小权限原则”。

安全加固建议

1. 隔离应用池：为每个重要的ASP应用创建独立的应用程序池，并使用一个权限受限的本地用户作为该池的“标识”，这样即使一个应用被攻破，也不会影响到其他应用或系统。
2. 禁用不必要的Web服务扩展：除了“Active Server Pages”，检查并禁用所有其他未使用的扩展，如“WebDAV”、“服务器端包含”等。
3. 自定义错误页：在“自定义错误”选项卡中，将默认的、可能泄露服务器信息的详细错误消息（如500.100错误）重定向到一个友好的、统一的错误提示页面，在开发调试阶段，可以临时设置为“详细错误”，但上线后务必改回。
4. 及时更新：尽管Windows Server 2003已停止主流支持，但仍应尽可能寻找并安装任何可用的安全补丁，并考虑使用网络防火墙、入侵检测系统等外部安全设备进行防护。

常见问题排查

在配置IIS 6.0 ASP时，最常见的问题莫过于“500 Internal Server Error”，这个错误本身非常笼统，真正的错误原因被隐藏了，解决方法是：

1. 进入网站属性的“主目录”选项卡，点击“配置”。
2. 在“调试”选项卡中，勾选“向客户端发送详细的ASP错误消息”。
3. 刷新浏览器,此时你将看到包含具体错误行号和描述的真实错误信息，对象未定义”、“数据库连接失败”或“权限被拒绝”等，从而可以针对性地解决问题。

相关问答FAQs

问题1：为什么我的ASP页面在浏览器中只显示源代码，而不是执行后的结果？
解答：这个问题通常由两个原因导致，最常见的原因是您没有在IIS管理器中启用ASP服务，请检查“Web服务扩展”，确保“Active Server Pages”的状态是“允许”，请检查您网站或虚拟目录的“执行权限”是否设置为“纯脚本”或“脚本和可执行文件”，如果设置为“无”，IIS将不会处理ASP脚本，只会将其作为普通文本文件发送给浏览器。

问题2：在IIS 6.0的ASP配置中，“启用父路径”选项是什么意思，我应该开启它吗？
解答：“启用父路径”选项允许ASP页面中使用 这样的相对路径来引用位于当前目录上级目录中的文件（<!--#include file="../common/header.asp"-->），虽然这在一些老旧的应用程序开发中提供了便利，但它也带来了严重的安全隐患，称为“路径遍历攻击”，攻击者可能利用此漏洞访问到本不应被访问的网站目录之外的文件，从安全角度出发，强烈建议保持此选项为禁用状态，如果应用程序确实需要，最佳做法是修改代码，使用绝对路径或通过服务器变量（如 Server.MapPath）来动态构建正确的文件路径，而不是依赖父路径。