IIS默认网站挂马急救：3招用免费工具找回控制权
网站突然打不开，或者打开后满屏弹窗广告，甚至浏览器提示“不安全”？别慌，这大概率是被黑了。很多站长第一反应是重装系统，但这往往是下策，不仅浪费时间，还可能丢失数据。更糟糕的是，如果你不知道根源，重装完第二天可能又中招。
今天咱们不聊虚的，直接上干货。针对 iis服务器的默认网站 被挂马、篡改的常见场景，我整理了3套基于 免费工具 的排查与修复方案。无论你是刚接手老项目的设计师转前端，还是负责运维的技术小白，照着做都能把损失降到最低。核心逻辑就一条：找到“默认网站”这个漏洞入口，切断攻击链路，加固防御。
为什么“默认网站”是黑客最爱的后门
很多新手在配置 IIS 时，习惯性地让 IIS 自动生成一个“Default Web Site”。这个站点通常绑定在 80 端口，且没有做严格的身份验证。黑客扫描工具（如 Shodan、FOFA）每秒能扫描成千上万个 IP，一旦发现开放的 80 端口且未配置复杂权限，就会尝试上传 Webshell。
核心痛点： 网站被黑挂马不知道怎么办？
原因分析：
- 默认站点未关闭： 很多教程只教你建站点，没教你关默认站。
- 匿名权限过高： 默认站点的物理路径通常指向
C:\inetpub\wwwroot，该目录对 IIS_IUSRS 用户组拥有写入权限。 - 缺乏日志监控： 没人看日志，挂马了都不知道是什么时候进来的。
1. 方案对比：手动排查 vs 自动化工具
在动手之前，我们要选对工具。市面上有很多收费的安全扫描软件，但对于中小站或初期阶段，免费工具 完全够用。
| 维度 | 手动查看事件日志 (Event Viewer) | IIS Log Parser (命令行) | 第三方免费扫描工具 (如 AWVS Free) |
|---|---|---|---|
| 学习成本 | 低，图形界面直观 | 高，需记忆命令参数 | 中，需配置规则库 |
| 效率 | 慢，适合事后追溯 | 快，适合批量分析 | 极快，自动化扫描 |
| 精度 | 一般，日志量大时难定位 | 高，可精确过滤 404/500 错误 | 高，能发现已知漏洞 |
| 适用场景 | 刚发生挂马，急需找线索 | 日常运维，分析访问规律 | 定期体检，发现潜在风险 |
| 成本 | 免费 (Windows 自带) | 免费 (微软官方) | 免费 (社区版/个人版) |
推荐组合： 先用 AWVS Free 或类似在线扫描器做全盘体检，找出可疑文件；再用 IIS Log Parser 分析最近 7 天的访问日志，定位攻击 IP；最后用 Event Viewer 确认是否有异常进程启动。
核心差异与实操：如何锁定并清除后门
光知道工具没用，得知道怎么查。下面以最常见的“网页被篡改，出现黑链”为例，演示如何用免费工具一步步破案。
第一步：利用免费工具扫描可疑文件
不要盲目删除，先备份。下载一个免费的 Webshell 查杀工具（如 D-Shell 或 河马查杀），对网站根目录进行全盘扫描。
注意： 扫描时重点检查 asp、aspx、php 等动态文件，以及最近修改时间在 24 小时内的文件。
如果扫描出可疑文件，不要急着删。先记下文件名和路径。
第二步：分析 IIS 日志，定位攻击源头
这是最关键的一步。很多人删了木马，但没封 IP，导致黑客换个马甲又进来了。
IIS 日志默认存储在 %SystemDrive%\inetpub\logs\LogFiles\W3SVC1\ 目录下。文件名格式如 u_ex240501.log。
我们可以使用微软官方的免费工具 Log Parser 2.2 来查询。假设我们要查最近 24 小时内，状态码为 404（未找到资源）且请求路径包含 .aspx 的 IP 地址，通常这些是黑客在探测后台入口。
# 确保 Log Parser 2.2 已安装并加入 PATH
# 查询 2024 年 5 月 1 日的日志，筛选 404 错误和 aspx 请求logparser -i:IISW3C "SELECT time-date, c-ip, cs-uri-stem, sc-status FROM u_ex240501.log WHERE sc-status = 404 AND cs-uri-stem LIKE '%.aspx'" -o:csv -o:out "suspicious_404.csv"
解释：
-i:IISW3C：指定输入格式为 IIS W3C 日志。SELECT ...：选择我们要看的列，包括时间、客户端 IP、请求的资源路径、状态码。WHERE sc-status = 404：过滤出 404 错误，黑客常通过大量 404 探测目录。-o:csv：输出为 CSV 格式，方便用 Excel 打开分析。
打开生成的 CSV 文件，你会看到一堆 IP。重点关注那些在短时间内发出大量 404 请求的 IP，它们极大概率是攻击者。
第三步：检查默认网站配置与权限
很多挂马案例，根源在于 iis服务器的默认网站 配置不当。
打开 IIS 管理器，查看“Default Web Site”。
- 绑定检查： 确认是否绑定了 80 端口。如果不需要，直接解除绑定或停止该站点。
- 物理路径： 右键“Default Web Site” -> 编辑，查看物理路径。如果是
C:\inetpub\wwwroot，这个目录默认权限非常宽松。 - 身份验证： 进入“身份验证”，确保“匿名身份验证”已启用，但“Windows 身份验证”根据业务需求决定是否启用。
关键操作：收紧目录权限
即使关闭了默认网站，也建议收紧 wwwroot 的权限。
- 在文件管理器中，右键
C:\inetpub\wwwroot-> 属性 -> 安全。 - 删除
Everyone和IUSR的写入权限。 - 确保
IIS_IUSRS只有“读取”和“列出目录内容”权限，绝对不要给“写入”。
代码与配置对比：如何加固 IIS 默认网站
光靠删文件不够，得从配置层面杜绝后患。以下是两种常见的加固配置方式，对比其优缺点。
方案 A：直接移除默认网站（最推荐）
如果你只运行一个站点，直接删除 IIS 自带的“Default Web Site”是最干净的。
操作步骤：
- 在 IIS 管理器中，右键“Default Web Site” -> 删除。
- 确保你的业务站点绑定了 80/443 端口。
- 重启 IIS 服务。
优点： 彻底消除默认站点的风险，减少攻击面。 缺点： 如果误删，需重新配置站点绑定，有一定操作门槛。
方案 B：修改默认网站绑定与权限（保守派）
如果你不敢动默认网站，可以将其“闲置化”。
Web.config 配置示例（限制访问）：
在默认网站的物理路径下创建或编辑 web.config，添加以下代码，禁止所有 IP 访问，除了你本地的 127.0.0.1（仅用于调试）：
<?xml version="1.0" encoding="UTF-8"?>
<configuration><system.webServer><security><requestFiltering><ipAddresses allowUnlisted="false"><add address="127.0.0.1" /><!-- 这里可以添加你信任的运维 IP --></ipAddresses></requestFiltering></security></system.webServer>
</configuration>
同时，修改 IIS 绑定： 将默认网站的绑定端口从 80 改为 8080 或其他非标准端口，并移除主机名绑定。这样外部用户通过 80 端口访问时，将无法命中默认网站，而是命中你配置好的业务站点。
方案 C：使用 URL Rewrite 重定向（灵活派）
利用 IIS 的 URL Rewrite 模块（需单独安装，免费），将默认网站的请求重定向到你的业务站点，并拒绝写入操作。
web.config 示例：
<?xml version="1.0" encoding="UTF-8"?>
<configuration><system.webServer><rewrite><rules><rule name="Redirect Default Site" stopProcessing="true"><match url="(.*)" /><action type="Redirect" url="http://www.yourdomain.com/{R:1}" /></rule></rules></rewrite></system.webServer>
</configuration>
注意： 这种方法主要用于流量引导，不能 替代权限收紧。必须配合文件权限修改一起使用。
适用场景与选型建议
根据你的技术水平和业务需求，选择最适合的方案：
| 你的身份/场景 | 推荐方案 | 理由 |
|---|---|---|
| 设计师转前端/小白 | 方案 A (移除默认网站) + 免费扫描工具 | 操作简单，一劳永逸。只要会点鼠标，删个站点不难。配合免费工具定期扫描，能解决 90% 的挂马问题。 |
| 多站点共享服务器 | 方案 B (修改绑定+权限) | 不敢乱删，怕影响其他站点。通过修改端口和 IP 白名单，隔离风险。 |
| 高安全要求/政企客户 | 方案 A + 方案 C + 日志监控 | 多重防御。移除默认站，重写规则防误访问，同时用 Log Parser 每天分析日志，发现异常 IP 立即封禁。 |
特别提醒：工信部ICP备案系统的合规性
在折腾服务器之前，请务必确认你的域名已在 工信部ICP备案系统 完成备案。
很多新手忽略这一点，直接购买海外服务器或国内未备案服务器上线。结果：
- 国内服务器： 未备案域名会被运营商强制阻断解析，网站直接打不开。
- 海外服务器： 虽然能访问，但速度极慢，且存在合规风险。如果被举报，域名可能被暂停解析。
建议： 无论使用哪种 IIS 配置方案，备案是底线。去工信部ICP备案系统查询你的域名状态，确保“已备案”。如果是新站，先备案，再部署。
结尾互动
处理完挂马，加固完默认网站，你的 IIS 服务器才算真正“立住了”。但这只是开始，后续还要关注 SSL 证书更新、定期备份、依赖库升级等运维工作。
技术选型没有绝对的最好，只有最适合你当前阶段的。对于刚入行的朋友，简单、可控、可回滚 比“高大上”更重要。
回到最初的问题：在保障安全的前提下，你更倾向模板建站还是定制开发？模板站快，但容易被批量攻击；定制站慢，但代码可控，安全系数更高。欢迎在评论区聊聊你的经历，或者分享你遇到过的最奇葩的挂马案例，我们一起避坑！