在圣诞节期间，我们有一个主要的服务器妥协，当一个合法的FTP账户被用来上传一个.net后门时，它允许它访问整个asp.net机器账户，并包含数十个电子商务商店。
我们禁止了这个混乱，把混乱清理干净了，但是我想停下来。 做我的研究，似乎将.net应用程序限制为中等（不是完全信任）将确保应用程序保持自己，并且在正常情况下不能进行交互。
然而，由于我们的应用程序是经典的ASP和.NET，除非我能够保护ASP，否则几乎没有什么用途保护.net。
有谁知道什么额外的安全性，我可能需要实现以保证类似的方式ASP？
很抱歉听到你的入侵。
AFAIK你可能需要看应用程序池 。 我不是这方面的专家，但根据我的理解，您可以将ASP工作进程（w3wp.exe）设置为在您指定的用户（而不是常规SYSTEM或IUSR帐户）下的应用程序池中运行。 然后在Windows中，您可以非常严格地locking该用户。 例如，你只能提供他们访问wwroot / {yourwebsitename}文件夹，可能只能读取该文件夹的访问权限 – 除非你做一些文件系统对象写入（为了caching或其他原因）。
通过将您的每个网站设置为不同的应用程序池（具有适当不同的用户），在一个网站上的违规不应该影响wwwroot中的其他网站。
就像我说过的，你必须自己做更多的阅读，但这是你研究的起点 。
另外，请确保您通过IIS中的ASP设置并禁用远程debugging等function，并向客户端发送错误。 关于保护IIS的一般教程/书籍可能比ASP特有的更好的资源。 你有没有考虑升级服务器到IIS7？ 我确定有很多漏洞利用，bug修复等等，通常build议保持更新（尽pipe这是依赖于操作系统的，所以你可能会把你的手绑在那里）。