IIS权限总出错？5大Windows站点安全盲区

　　去年4月那台IIS服务器，权限问题折腾了三天三夜——不是NTFS权限没配好，也不是应用程序池身份搞错，是特么"匿名身份验证"和"Windows身份验证"在IIS管理器里同时勾着，结果权限叠加直接炸锅。这事儿后来跟老张聊起来，他叼着烟冷笑："权限总出错？先查这五大盲区，保准中招。"

　　第一盲区：匿名账户继承父目录权限。我原以为"匿名身份验证"用的IUSR账户是独立运行的，结果有次在D:\Sites\Web1下设了"只读"，子目录D:\Sites\Web1\Uploads没单独配权限，结果IUSR通过父目录继承的"只读"权限，愣是写不进去文件——这锅我背了俩小时，最后发现是"继承"选项没取消。老张说："这还算好的，更坑的是父目录给了'完全控制'，子目录权限没收紧，匿名账户直接提权到系统级。"

　　车间那台风扇一直在响，旁边小李抖着腿刷手机，手套上一块硬掉的胶蹭在服务器外壳上，黏糊糊的。我边说边松螺丝，垫了块绝缘胶布，再紧半圈——这招是跟老周学的，他说"直接紧容易滑丝，垫一下能扛震动"。结果那台服务器还是偶尔报500错误，修完我自己都没底，后来发现是内存条接触不良，跟权限半毛钱关系没有。

　　第二盲区：应用程序池身份用"Network Service"还是"Local System"。去年帮客户迁站点，他们非要用"Local System"，说"权限高，省事"。结果呢？IIS进程直接能访问系统盘根目录，病毒稍微有点本事就能提权到SYSTEM级。我当场怼回去："这跟把家门钥匙挂在门把手上有什么区别？"最后改回"Network Service"，权限缩到最小——这招我敢打包票，90%的权限问题能解决一半。

　　手机在铁台上震了一下，是媳妇发消息说"盒饭到了"。我瞥了眼屏幕，继续说第三盲区：SSL证书权限。有次客户说"HTTPS访问报403"，我查了半天发现是证书文件（.pfx）的NTFS权限没给IIS_IUSRS组，结果IIS进程读不到证书，直接拒绝访问。这锅我背得冤，因为证书是客户自己装的，装完没改权限——老张补刀："下次让客户装完证书，先右键属性-安全-编辑，把IIS_IUSRS加上'读取'权限，保准不踩坑。"

　　中午盒饭里有块姜，我挑出来扔在桌上。小李凑过来问："那第四盲区呢？"我咽下饭说："第四是'WebDAV发布'权限。有客户开了WebDAV，结果没限制写入目录，黑客直接上传个webshell，权限提得比坐火箭还快。这招我见过最狠的，是黑客通过WebDAV上传.aspx文件，然后利用IIS的'应用程序映射'执行代码，直接拿下服务器。"小李抖腿的频率快了："那咋防？"我夹了块肉："关WebDAV啊！或者严格限制写入目录，只给特定IP访问。"

　　第五盲区最隐蔽：'URL授权'规则冲突。有次客户说"某些页面能访问，某些不能"，我查了半天发现是IIS的"URL授权"模块和NTFS权限打架了——比如NTFS允许"Users"组访问，但URL授权规则里禁了"Users"组，结果IIS优先用URL授权规则，直接拒绝访问。这招我修过两次，第一次花了四小时，第二次两小时——因为第一次没记日志，第二次靠经验直接查URL授权配置。

文章配图，仅供参考

　　修完那台服务器，我蹲在车间门口抽烟。老周凑过来："你那五大盲区，我补充个冷门的——'ISAPI筛选器'权限。有次客户装了个第三方ISAPI筛选器，结果没给'读取和执行'权限，IIS启动直接报500，查了半天才发现是筛选器文件权限问题。"我愣了下："这我还真没遇到过。"他笑："所以叫盲区嘛，优胜劣汰，遇到的人少，但遇到了就是大坑。"

　　下午继续修另一台服务器，谁把扳手掉地上了一声闷响。我捡起来，发现螺丝口有点滑丝——得，这活儿又得返工。不过话说回来，IIS权限总出错？这五大盲区确实站得住，尤其是"匿名账户继承"和"URL授权冲突"，我修过的服务器里，至少三成是这俩问题。至于优胜劣汰嘛...老张说得对，踩坑的人少了，这些盲区就成"绝活"了——但谁想当那个踩坑的倒霉蛋呢？

（编辑：应用网_常德站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!