先說下原則：

　　1.web一定要用一個guests組裡面的使用者（USERS許可權還是高了。預設IUSER_XXXX使用者許可權高了）。

　　2.web目錄單獨設定許可權，php目錄單獨設定許可權（PHP.EXe目錄）3.各盤一定要刪除USERS組、everyone、network services使用者的訪問許可權4.如果是多個網站，注意分別建立賬號，保證不能跨站訪問。

　　================================具體操作:

　　1.建立一個web賬號如IIS_WEB,並加入GUESTs組中，同時去掉其他組許可權（在計算機管理的使用者與組裡面很好設定）。

　　2.去掉各盤的USERS組、everyone、network services許可權。

　　3.設定users對php的讀取許可權(這兒不是web的那個賬號了！不然403.1拒絕訪問php)。

　　4.設定web賬號如IIS_WEB對web目錄的讀取許可權5.如果是mdb或者支援上傳的，那單獨設定這些目錄的web賬號如IIS_WEB寫入許可權。

　　6.如果是asp.NET,那麼要對web目錄加入IIS_WPG的訪問許可權。

　　==============================以上方法借鑑了星外系統的安全性設定，同時根據入侵中找到的脆弱點吸取教訓。

　　注意：以上如果設定不好，可能會出現401.3拒絕訪問喲。

　　請按照步驟設定