如何在Windows Server2012系统下配置FTP站点的安全设置？
美国、香港服务器
如何在Windows Server2012系统下配置FTP站点的安全设置？
09-11 来源:
## 一、身份验证安全
1. **关闭匿名 FTP（最重要）**
IIS →选中 FTP 站点 →双击【FTP 身份验证】
- 匿名身份验证：**禁用**
- 基本身份验证：**启用**
匿名开启任何人不用账号就能浏览下载，高危；基本认证配合 FTPS 才能保护密码。
2. 密码策略（系统层面）
打开本地安全策略 `secpol.msc`
账户策略 →密码策略
- 密码必须满足复杂性要求：启用
- 密码最短使用期限：1 天
- 密码最长使用期限：60 天
- 最小密码长度 ≥10 位
账户锁定策略（防暴力破解）
- 账户锁定阈值：5 次无效登录
- 锁定持续时间：10 分钟
## 二、FTP 授权规则（最小权限）
IIS →FTP 站点 →【FTP 授权规则】
1. 删除`允许所有用户`这条默认规则
2. 添加允许规则 →**指定用户**，只填入你的 ftp 账号（例：`ftpuser`）
权限：按需勾选
- 只下载：仅【读取】
- 需要上传图片：读取 + 写入
不要勾选「所有用户」，杜绝越权访问
## 三、FTPS 加密，禁止明文 FTP 传输
1. 先把 SSL 证书导入 IIS（域名证书）
2. 选中 FTP 站点 →【FTP SSL 设置】
- SSL 证书：选择导入好的证书
- SSL 策略：**需要 SSL**（不是允许 SSL）
客户端连接必须用 FTPS (显式)，端口 21；普通 FTP 明文连接直接拒绝，密码不会被抓包。
测试场景临时选【允许 SSL】，正式业务必须【需要 SSL】
## 四、NTFS 目录权限（最小权限原则，核心）
FTP 目录（D:\www\uploads）右键 →属性 →安全
1. 删除多余用户：删除 Everyone、Guest、Administrators（不需要就移除）
2. 仅保留：
- FTP 账号（ftpuser）：读取和执行、列出文件夹目录、读取、写入；**非必要不授予【修改 / 完全控制】**
- SYSTEM、Administrator（系统保留）
上传场景：如果需要客户端删除文件，才添加修改权限；只上传不删除，不要给修改。
PowerShell 设置示例：
$path="D:\www\uploads"
$user="ftpuser"
$acl=Get-Acl $path
# ReadAndExecute,Write 不上传删除；需要删除就加上Modify
$rule=New-Object System.Security.AccessControl.FileSystemAccessRule($user,"ReadAndExecute,Write","ContainerInherit,ObjectInherit","None","Allow")
$acl.AddAccessRule($rule)
Set-Acl $path $acl
## 五、FTP 请求过滤（禁止上传脚本木马）
IIS →FTP 站点 →【FTP 请求筛选】
1. 文件扩展名 →**拒绝添加**：`.aspx,.php,.ashx,.exe,.bat,.cmd,.ps1`
阻止上传可执行脚本，防止上传 webshell。
2. 设置最大上传内容长度，限制大文件攻击，例如限制单文件 50MB。
## 六、FTP 防火墙支持与端口安全
1. IIS 服务器根节点 →FTP 防火墙支持
被动端口范围`50000-50050`，填写服务器公网 IP
2. Windows 防火墙只放行：21 + 50000-50050，**关闭多余端口**
# 只开放FTP端口，不需要的端口全部拒绝
New-NetFirewallRule -Name FTP-21 -DisplayName "FTP 21" -Direction Inbound -LocalPort 21 -Protocol TCP -Action Allow
New-NetFirewallRule -Name FTP-PASV -DisplayName "FTP被动端口50000-50050" -Direction Inbound -LocalPort 50000-50050 -Protocol TCP -Action Allow
> 云服务器：安全组同样仅放行 21 + 被动端口，不要开放全部端口。
# 七、FTP 日志审计（排查入侵）
1. IIS →FTP 站点 →【FTP 日志】启用
日志路径默认`%SystemDrive%\inetpub\logs\LogFiles`
日志字段勾选：用户名、IP、操作、文件、状态码
定期查看日志，识别异常登录、大量上传行为。
- 日志里可查看：哪个 IP、哪个账号、上传 / 删除了哪些文件
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
