так:
Sanja v.2 28.04.2006 14:13
1. завести в систему пользователя с именем "apache"
2а. (если apache запускается как обычное приложение) запускаете апач командой
runas.exe /noprofile /user:apache "apache.exe -k start"
2b. (если апач запускается как служба) mmc.exe -> services -> перенастроить службу "Apache", чтобы запускалась не от пользователя local system, а от пользователя apache
3. Закручиваете пользователю apache гайки - делаете его "гостем" (даже не "обычным пользователем"), запрещаете чтение всех папок, кроме папки с document root, папки с логами и cgi-bin, запрещаете запись всюду, помимо папки, куда в вашем сайте скидываются логи и хэшфайлы.
Почитайте
http://www.iisanswers.com/articles/IIS_Lockdown/IISLockdown.htm со строки
"Set file permissions to prevent anonymous IIS users from" - вам в итоге нужно сделать похожее.
