IIS权限总出错？5大Windows站点安全盲区

　　我跟老张在钉钉语音吵了俩小时，耳机里他声音发干，像没润过的砂纸。我说“IIS权限总出错？5大Windows站点安全盲区”这标题站得住——上个季度我接手的三个老站，全是半夜报500，查日志，全是NTFS继承断层、IIS_IUSRS缺读取、AppPool身份没加到IIS_WPG……结果呢？一个留着，两个直接下线重搭。优胜劣汰，就这么简单。

　　他打断我：“你连IIS_WPG都还挂着呢？2016之后早废了，Win10/2019根本不用这个组！”

　　我当时就一句话：“哦……对，我忘了。”

　　真的忘了。上周我还让运维小李去加IIS_WPG，他回我个“？”加个翻白眼表情包。我低头扒拉手机看电量，只剩23%。窗外一辆洒水车慢悠悠按了三声喇叭，我手一抖把咖啡洒在键盘上，Ctrl+S按成Ctrl+Alt+Del，桌面闪一下黑。反正没保存，也不用保存。

　　老张接着说：“再说那个‘匿名用户必须禁用’，你列第三条——可咱做政府内网站，要求的就是匿名访问！你管人家要不要审计日志？”

　　我嚼了口冷馒头，咽下去才开口：“那你就别挂‘Windows站点安全盲区’，挂‘面向互联网公开站点的五大盲区’。标题骗不了人，但骗得了自己。”

　　他说得对，我认。匿名访问是不是必须关，真得看场景。我原以为只要贴出微软文档截图就行，结果对方甩过来一页《等保2.0三级实施细则》里写的“确因业务需要启用匿名身份认证的，应实施单独隔离及细粒度审计”——行吧，我认输，这条我写窄了。可后来我就憋不住笑：“那你倒是说说，为什么你们家新站上线第七天，ASPX页面全返回401，查了半天是applicationHost.config里被自动改回true？”

　　他顿了两秒，说：“……我们用的是蓝盾自动化部署平台。”

　　我当场就把嘴里的馒头渣喷了出来：“蓝盾？它连web.config都能覆盖掉，还敢动applicationHost.config？你们是拿它当杀毒软件用吗？”

　　对面沉默。旁边一直听着的陈姐突然插一句：“哎呀老张你快看看群——王总监刚@你问‘蓝盾和SCCM冲突不’”，然后她发了个[捂脸]表情包，特别大，占满整个对话框。

文章配图，仅供参考

　　我说完那句“优胜劣汰”就不松口了。不是嘴硬，是真的见过太多：去年帮教育局收编九个镇街站，七个死在权限配置上——不是不会配，是压根不知道“应用程序池标识账户默认没有‘替换进程级令牌’权限”，得手动勾。没人教，没人审，没人盯日志。熬过头的，活下来；卡在中间的，停服；永远靠手工删bin再重启的，迟早滚蛋。就这么糙，也这么准。

　　老张最后来句：“那你敢不敢说模板站能不能做起来？”

　　我愣了下。孩子从书房冲出来举着乐高塔喊“爸爸你看我叠高高！”，我顺手把手机塞裤兜，只听见听筒里嗡嗡响，像有苍蝇撞喇叭。没接那茬——这不是IIS权限的事，是商业底线的事。我宁可承认自己把IIS_WPG写错了，也不信有人能靠一套通用模板跑通卫健委+信访办+招投标三个完全不同数据流的权限模型。真有，我倒杯酒给他磕个头。

　　他气笑了：“AI内容能不能发？你答不上来吧。”

　　我回：“我昨天改完一个ASP.NET站点登录页，把‘用户名密码错误’提示从红字改成灰色icon加轻震动反馈——这个改法，AI写得出来吗？”

　　他没吭声。我也没等。我把剩半杯凉咖啡一口灌下去，喉咙发苦。其实我早该想到——他昨天下午发过一条朋友圈，背景图是他家阳台晾着的蓝布工装裤，配文：“蓝盾又把证书续订脚本删了。”

　　明天我把那个IIS权限检测工具的输出截图发出来。不是为了赢，是想让他看清，第4行那条警告“Application Pool Identity has no Read access to web.config”，它不是bug，是警报器。而我们这行，早就没人修警报器了，只顾擦报警灯上的灰。

　　也可能他说的那部分是对的——就是关于等保那页纸。但我还是觉得，有些东西筛不出来，不是因为标准松，是筛子眼儿太大，漏过去的，本来就不该进这个门。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!