IIS权限总出错？5大Windows安全盲区

　　去年八月，我蹲在客户机房第三排U17机柜前，听见空调滴水声混着UPS蜂鸣，像坏掉的节拍器。王工在隔壁柜子拧螺丝，手一滑，六角扳手掉进散热格栅缝里，叮——一声，他没捡，继续调防火墙策略。我盯着IIS管理器里那个标红的“无法访问配置文件”弹窗，手指悬在回车键上停了十八秒。这哪是权限问题？这是Windows在玩行为艺术。

　　第一个盲区：ApplicationHost.config的继承锁链里藏着三个幽灵组。你改完IIS_IUSRS对C:\\Windows\\System32\\inetsrv\\config的ACL，重启服务——好，它好了。两小时后又黄了。为什么？因为System进程每次冷启动都会重跑一遍“安全策略同步脚本”，而那个脚本的源码藏在AD组策略对象GPO-087A里，谁配的？三年前离职的李主任，连备份GPO都没留。我敢打包票：你查到的那行“Apply ACLs on boot”不是注释，是真实执行逻辑。但那个GPO到底调用了哪几个DLL？我说不准。上周五下午，运维小张接了个电话，声音突然拔高：“我爸住院了！我得赶高铁！”——挂了就走，桌上的麻辣烫盖子都没合严，油渍洇到组策略编辑器窗口右下角，像一滴未干的血。

　　第二个盲区：AppPoolIdentity的SID不等于你在本地用户管理器里看到的SID。去年八月那会儿，我们用PowerShell批量重建AppPool，写了个脚本，每轮生成新SID，理论上更安全。结果呢？旧Session State缓存还在D:\\Temp\\AppPoolState里躺着，文件所有权是老SID，新进程连读都读不了，报错还伪装成“内存不足”。我原以为清临时目录就能破局，结果发现D:\\Temp被一个隐藏的DFS命名空间映射覆盖了——映射点指向另一台服务器的隐藏共享，而那台服务器的磁盘配额早被财务部的报表任务吃满。那天下午四点十七分，机房顶灯忽然闪了三次，跟心跳似的，没人抬头。赵姐从茶水间端着保温杯回来，看见我屏幕上的错误代码，说：“哦，那个啊，去年十二月也出过，后来加了句try-catch绕过去了。”她拧开杯盖，吹了三口气，没喝，放回桌上。

　　第三个盲区：web.config里的根本不管用，除非你的AppPool Identity属于IIS_IUSRS，而IIS_IUSRS又恰好被授予了“作为服务登录”权限。但Windows Server 2019默认没开这个权限——它只在安装IIS角色时偷偷勾选了一次，下次打补丁更新，又给你默默取消。这不是bug，是优胜劣汰。淘汰那些不翻微软KB文档第4782号补丁说明的人，淘汰那些相信GUI界面比SDDL更可靠的家伙，淘汰那些把“IIS重启一下就好”当真理传下去的老师傅。我见过最狠的案例：某政务云平台，开发组硬是用批处理每两小时强制chown一次web.config的属主，跑了十九个月，直到某天DC同步延迟三分钟，全站403。真服气。窗外雨一直没停，雨刷器节奏乱了，左快右慢，像癫痫发作。

　　第四个盲区：NTFS的“删除子文件夹及文件”权限和“IIS管理器”的“删除”按钮不是一回事。你给了某账号对站点物理路径的Full Control，它照样删不掉某个.asmx文件——因为那个文件被IIS临时锁定，句柄还在w3wp.exe里挂着，而w3wp.exe是以SYSTEM身份运行的。你去进程管理器里看，句柄数显示为0。但它就在那儿。我试过Process Explorer强行释放，结果整个AppPool崩溃，日志里只有一行：“Worker process exited due to fatal error.” 不是因为句柄，是因为Process Explorer本身触发了内核级AV。那天晚上九点，运维总监发微信：“今晚必须上线”。我没回。盯着电脑右下角的时间，等到九点零七分，雨停了，空气里有股铁锈味。

文章配图，仅供参考

　　说到SQL Server……算了。反正上周审计组又来了，穿蓝西装那人掏出一个U盘，说要扫所有服务账户的密码策略，我盯着他右手小指上的创可贴——撕开一半，露出底下没愈合的伤口。他插U盘时，我顺手点了下IIS管理器右上角那个刷新按钮，图标转了三圈，没反应。这时候我才想起来，今天没关IE Enhanced Security Configuration。真烦。

　　优胜劣汰？对。淘汰的不是技术，是侥幸心理。你今天敢把AppPoolIdentity改成NetworkService，明天审计报告就敢把整页A4纸刷成红色。我下周二要去参加那个“零信任架构研讨会”，主办方要求提前提交PPT，主题是《如何让IIS在没有权限的情况下正常工作》。我还没想好怎么讲——可能就放一张黑屏截图，标题写：“它现在正在加载”。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!