IIS权限总出错？5大安全盲区90%管理员中招

　　哎我跟你说，去年十一月那次活动砸了，真不是运营的锅——虽然他们现在还在群里甩锅。当时活动页一上线，五分钟不到就404，后台监控数字跳得比饮水机换桶还快，每分钟自动刷新一次，全是红字。我原以为又是CDN崩了，结果查日志发现是IIS的权限配置炸了，应用池账户连.net临时文件夹都访问不了，直接给我整懵了。

　　最离谱的是，这问题根本不是第一次出现。去年双十一大促前，我们测了三天三夜，结果活动当天凌晨两点，优惠券领取接口突然报500，查下来又是IIS的匿名身份验证和Windows身份验证打架——两个配置项在IIS管理器里看着好好的，实际运行的时候，匿名账户的权限被Windows策略覆盖了，导致临时文件写不进去。那时候群里@我的消息刷得比打印机吐物料还快，我盯着屏幕看了十分钟，才发现是“配置继承”没关，父目录的权限设置把子目录给覆盖了。

　　可这还只是冰山一角。我后来翻了半年日志，发现90%的IIS权限问题，都栽在五个“安全盲区”上——比如“应用程序池标识”用默认的NetworkService，结果权限不够；或者“ISAPI和CGI限制”里漏了.net的扩展；再或者“请求筛选”里把.config文件的访问给禁了。这些坑，我原以为只有新手会踩，结果去年复盘的时候，连运维组的老王都举手说：“哦那个啊，我上周刚踩过。”

　　但你说这些盲区为什么总被忽略？我觉得跟“优胜劣汰”有关——不是自然选择，是“问题选择”。比如权限配置错了，活动页可能直接白屏，这时候所有人都会盯着IIS查；但如果权限配得太松，比如给应用池账户开了管理员权限，反而不会立刻报错——除非被黑客扫到，或者哪天运维手滑删错了文件。所以大家更愿意优先解决“显性问题”，而“隐性问题”就像会议室里的空咖啡杯，没人收拾就一直堆着，直到某天绊倒人。

　　说到会议室，那天我们为了查问题，从早上九点占到下午三点，中间运营小李还跑进来打印物料，把我的手写排期表给碰湿了——现在那纸上还留着茶渍，像块地图。手机电量从100%掉到15%，群里还在@我：“测试同学，活动页什么时候能好？”我回：“在改了在改了”，其实心里没底——因为IIS的权限问题，有时候改一个配置项，得重启整个应用池，而重启又可能触发其他依赖服务的问题，比如数据库连接池断了，或者缓存清了，导致活动页的其他功能又报错。

　　最绝的是，有些问题根本不是配置导致的，而是“历史遗留”。比如去年六月我们做过一次IIS版本升级，从7.5升到10.0，结果有些老项目的web.config文件里用了过时的配置节点，升级后直接报错。那时候运维组为了赶进度，直接手动改了所有项目的配置文件，但没记录具体改了哪些——所以去年十一月活动前，我测的时候发现有些权限配置是“手动覆盖”的，和IIS管理器里显示的完全不一样。我问老王：“这怎么回事？”他挠头：“可能当时改太急，忘了同步到管理器了。”

　　所以你说“IIS权限总出错？5大安全盲区90%管理员中招”这个结论站得住吗？我觉得站得住——不是因为它多权威，而是因为它把那些“隐性问题”给拎出来了。就像我们测试漏斗的时候，总盯着转化率低的环节，但有时候问题出在“漏斗之外”——比如用户点击按钮后，页面加载太慢，或者报错了，但错误信息被隐藏了，用户只能默默退出。IIS的权限问题也是一样，它可能不会直接导致页面报错，但会间接影响功能——比如优惠券领取接口返回“服务器错误”，可能是因为临时文件写不进去，而临时文件写不进去，可能是因为IIS的匿名账户没有写入权限，而这个权限又被父目录的“配置继承”覆盖了。

　　不过话说回来，这些盲区也不是完全无解。比如我们现在用PowerShell脚本定期检查IIS配置，把关键配置项（比如应用程序池标识、匿名身份验证、请求筛选）的当前值和基准值做对比，不一致就报警；再比如把“配置继承”默认关掉，所有子目录的权限都手动设置，避免被父目录覆盖；还有，给应用池账户开权限的时候，只给“刚好够用”的权限，而不是直接开管理员——虽然这样可能会遇到“权限不够”的问题，但至少不会因为权限太松而被黑客利用。

文章配图，仅供参考

　　不过话说回来，去年十一月那次活动，最后是怎么解决的？我让运维把应用池账户从NetworkService换成自定义账户，给这个账户单独开了.net临时文件夹的写入权限，然后重启了应用池——结果活动页立刻恢复了。但运营组不依不饶，说“为什么测试的时候没测出来？”我指着测试环境说：“你们看，测试环境的IIS配置和线上是一样的，但测试环境没流量，所以权限问题没暴露。”他们沉默了三秒，然后小李说：“那下次大促前，我们能不能模拟线上流量测？”我说：“可以，但得先让运维把测试环境的服务器配置升级到和线上一样——否则测出来的问题，可能还是假的。”

（编辑：草根网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!