IIS权限总出错？5大Windows安全盲区揭秘

　　一三年那会儿，我蹲在海淀桥边上一个隔断间里调IIS，空调不制冷，风扇响得像拖拉机挂了二挡。隔壁老张叼着烟敲键盘，灰都掉进我笔记本散热口里——后来那台戴尔E6420蓝屏次数比重启还勤快。当时权限报错，第一反应是“IUSR账户没加进Users组”，第二反应是“删了再建个ApplicationPoolIdentity试试”，第三反应……其实没第三反应，直接重装IIS。连Web平台安装器都不敢用，怕它悄悄改注册表权限。现在想起来，那不是谨慎，是蒙眼过河。

　　可你真信？当年真信。我记得清清楚楚：五月十七号下午三点四十二分，客户邮件标题写着“首页白屏+500.19”，我截图发给运维老陈，他回：“把C:\\inetpub\\wwwroot\\config目录ACL全删了，继承勾上，重来。” 我照做了。结果第二天早上六点，客户来电说“数据库连接字符串泄露在错误页上”。原来我们删ACL时，把web.config的读取权限也删了，IIS被迫吐出原始配置。我原以为删了就干净，结果删出了安全漏洞。这步走错了——不是技术错，是意识错：把权限当开关，不是边界线。

文章配图，仅供参考

　　桌上那台老显示器牌子记不清了，LG？三星？反正右下角有道斜裂痕，调亮度时会闪一下蓝光。二二年做某政务云迁移，客户要求全链路等保三级。我们搞了个权限测绘工具，自动扫描所有网站物理路径的ACL树、继承关系、SIDs映射、未解析SID残留……扫出来两千多个异常节点。最离谱的是某个老服务账户，SID还能解出来是Win2003时代的域用户，但对应AD对象早删了十年，ACL里还挂着它，没人敢动——怕动了某处就崩掉二十年前写的一段VBScript上传组件。那天晚上十一点半，我和阿哲在腾讯会议里沉默了七分钟。他突然说：“要不，先把它禁用？” 我说：“禁吧。” 然后他点了确定，屏幕没黑，接口也没炸，就……没了。我们俩同时喘了口气，像卸了三百斤铁疙瘩。其实那不是突破，是妥协：承认某些东西根本不该活着，只是我们一直没敢关电源。

　　前几天翻旧邮箱，看见一三年写的《IIS权限速查表》，第一页画了个手绘流程图，箭头歪得像醉汉走路，旁边标注“建议打印后贴在显示器边框上”。现在谁还贴？都塞进CI/CD流水线里，PR触发自动校验——可上周那个权限报错，恰恰出在GitLab Runner用的Service Account没拿到新部署服务器的LogonAsBatchJob权限。没人想到要校验这个。人走了，权限还在飘。就像以前老王——他管外链采购那会儿，总在凌晨两点更新百度站长后台，后来转去做短视频MCN，微信拉黑我三次，第四次我发了个IIS错误码截图，他秒回：“你还没把web.config放Git忽略列表里？” 他记得住这个，却忘了他自己早就不用IIS了。

　　二四年近三个月，我在看Azure Policy怎么约束App Service的文件系统权限。微软文档写了三页，但实际生效要看Resource Provider版本和RBAC作用域嵌套深度。上周测试时发现，同一个Policy在West US生效，在East US不生效——排查到第四层才定位是区域级Metadata Cache没刷新。我坐在工位上，摸了摸后颈那块旧伤疤，就是一七年搬服务器机柜时扭的。旁边新人问我：“哥，是不是还得写个权限矩阵Excel？” 我摇摇头，打开Notion，新建一页，只打了三行字：① 继承不等于安全；② SID是活的，不是刻在石头上的；③ 你删不掉的那个权限，很可能早就不该存在。后面就没写了。现在这套我也拿不准还能干几年。

（编辑：均轻资讯网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!