Windows站点搭建常被忽略的3大安全权限断点

　　一三年那会儿，我跟老陈在西二旗租的隔断间里搭第一个Windows站，IIS6.0配ASP.NET，权限全开——不是不懂安全，是真没人教。FTP账号密码就写在记事本里，跟泡面桶并排扔桌上；服务器管理员账户叫“admin”，密码是“123456”。他抽烟，烟灰掉进机箱风扇口，那台戴尔E4300显示器总闪，蓝屏前还爱先抖三下。我说：“挂了重装就是。”他说：“你怕啥，备案都没人查。”

文章配图，仅供参考

　　一七年我们改用IIS10，开始上云，但权限逻辑还是套老路。有个客户站点跑在Azure上，我照旧给ApplicationPoolIdentity加了“完全控制”权限到整个D:\\wwwroot，图省事。结果某天凌晨三点，他微信发来截图：首页被替换成“比特币勒索付款页”，后缀全改成.locked。我边敲远程命令边想，这哪是黑客干的？分明是那个PHP脚本上传点里的漏洞，配上我们给的太高权限——可当时谁还琢磨“ApplicationPoolIdentity不该有写权限”这种事？连文档都写着“建议赋予适当权限”……什么叫适当？

　　我原以为把IIS升级、换HTTPS、加WAF就算补牢了。结果二二年帮一家医疗系统迁移，他们在本地服务器跑了八年，所有IIS应用池统一用一个Domain Admin账户跑——对，不是LocalSystem，是真·域管。我当场没敢接话，只说：“咱先建个最小权限服务账户？”对方运维头也不抬：“以前一七年就这么干的，没出过事。”可他们不知道，去年三月，那个共享域管账号被某个已离职同事留下的RDP日志泄露过；也不知道，微软早就默认禁用了NTLMv1，而他们的登录脚本还在硬启这个协议。

　　那台老显示器是三星的？还是LG？记不清了。但记得一七年十一月，小马第一次在群里发了个PowerShell脚本，叫“IIS权限快扫”，我点开扫了自己三台站，发现两台有web.config可写权限暴露——可我没改。我说：“等上线再压测完一起调。”结果第二天客户投诉后台被塞入恶意JS，删了又回来。后来才懂，那不是JS反弹，是config文件被篡改后自动加载了远程handler。错就错在这儿：我以为权限是静态配置项，像DNS一样配一次能扛半年；没意识到，权限是动态摩擦面，补丁一打、模块一升、用户一动，它就滑出去半寸。

　　现在搞站点，得盯三处断点：一是应用池身份能不能读web.config但不能写；二是upload目录必须禁掉执行权限，哪怕里面全是.jpg；三是数据库连接字符串，绝不能放在web.config明文里，尤其不能带sa账号——这三处，一三年没人提，一七年有人提但没人信，二二年你漏一处，通报都可能落到网信办备案号后面。优胜劣汰？可不是说谁排名掉下去，是根本活不到下个季度审核。上周我翻当年备份，看到一个叫“test_2013_backup.zip”的包，解压出来index.aspx里还有Response.Write(Request.QueryString["id"])……嘶，这玩意儿现在扫不出XSS吗？

　　老周早就不做站了，听说去学烘焙，在通州开了家店，朋友圈发戚风蛋糕图，底下全是点赞。有次我问他：“你当年写那套ASP.NET控件树渲染，还留着不？”他回：“留着烧火。”其实我也烧过。二零年疫情最猛那阵，我清空了四台老VPS，重装镜像前，把C:\\inetpub\\logs\\LogFiles全打包删了——包括一三年六月十七号那批日志，IP全是192.168开头的，全是内网扫描，但我们那会儿只当是误报。

　　风扇响。朝北的窗缝漏风，冬天得用胶带封一半。隔壁装修队的电钻声隔墙传来，每一下都像锤在我脑仁上。这些和权限没关系，删了也行，但就是记得清。二二年那个医疗项目结款后，我花两天写了份《Windows站点权限三段校验清单》，发给客户时加了句：“别照抄，按你们AD组策略调。”结果对方IT总监回邮件说：“你们公司新来的SE也这么说。”——我愣住，SE？我司没设这个岗。后来才知道，是外包团队换人了，新人看了清单，直接找甲方要求重开权限审计会。

　　二五年七月，我站在阿里云控制台里给新客户配App Service环境，点到“托管身份”那栏时手停了两秒。现在这套逻辑，比一三年复杂十倍，但奇怪的是，人反而更不敢动手了。不是怕错，是怕错得没道理。比如今天刚拒了一个需求：客户要我把appsettings.json上传到站点根目录，说“方便运维改参数”。我说不行。他说“一七年我们都是这么干的”。我答：“一七年你用的还是IE8。”——他笑了，没争。但我心里知道，下次要是碰到个更倔的，或者甲方压着要上线日期……我现在这套，我也拿不准还能干几年。

（编辑：均轻资讯网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!