本文承接上一篇宝塔Windows面板部署ASP网站教程。ASP属于老旧程序，本身存在不少安全短板，站点部署完成之后，需要配套做好安全加固，降低被扫描、非法写入、信息泄露等风险。下面的设置可以按顺序逐步操作。

云服务器默认开放大量端口，会增加被自动化脚本扫描的概率，只保留业务必要端口即可。

• 在云服务商安全组，仅开放80、443以及远程管理端口，其余端口全部拒绝公网访问
• 远程桌面3389端口，建议限制访问来源IP，不直接对全网开放
• 不需要使用的服务端口，在Windows防火墙内一并拦截，双重防护

权限过大是ASP站点被入侵的常见原因，遵循最小权限原则配置。

• 网站主目录：给IIS用户分配读取、浏览权限，取消默认的写入权限
• 数据库目录：仅mdb数据库文件夹单独开启写入权限，其他目录禁止写入
• 上传目录：如果站点带有上传功能，禁止执行脚本，防止上传恶意asp文件

默认IIS会向外暴露版本、服务器标识，攻击者可以利用这些信息针对性探测漏洞。

• 关闭IIS版本头，不让外部探测到IIS版本信息
• 禁用不需要的HTTP请求方法，保留GET、POST，删除PUT、DELETE等危险方法
• 自定义404、500错误页面，避免原生报错泄露物理路径

老ASP程序的部分功能存在安全隐患，不需要的功能及时关闭。

• 父路径只在程序必须开启的场景启用，闲置站点直接关闭
• 限制ASP脚本执行超时时间，减少长时间恶意脚本占用资源
• 关闭ASP错误详细信息对外展示，防止源码路径泄露

开启防盗链可以避免图片、静态资源被其他站点大量引用，消耗服务器流量。

在宝塔IIS站点配置中添加防盗链规则，只允许本站域名访问图片资源，拦截其他域名的外链引用；同时设置空白Referer的访问策略，按需放行或者拒绝。

加固不等于不会出现安全问题，备份和日志是故障溯源与恢复的保障。

• 宝塔面板设置定时备份，包含网站文件和数据库，异地保存备份文件
• 开启IIS访问日志，定期查看异常访问记录，发现大量扫描请求及时处理
• 定期检查网站目录，留意是否出现陌生文件、新增asp脚本

ASP老站点的安全防护核心是最小权限，尽量缩减对外开放范围。优先收紧安全组与目录写入权限，再处理IIS信息泄露、脚本执行限制等配置。加固完成后，可以用浏览器、简单扫描工具做基础自测，确认网站业务功能不受影响。日常持续留意访问日志，及时发现异常访问行为。