Windows服务器站点权限配置：零越权、零宕机

　　去年十月，我亲手把三台Windows Server 2019的IIS站点权限重配了一遍——不是为了优化，是备案驳回第七次之后，审核人员甩过来一句：“请确认应用池用户、物理路径权限、匿名身份认证三者无越权行为”。

　　我原以为只是改个IIS_IUSRS组的读取权限，结果发现网站根目录下那个web.config被加了，而这个账户居然属于管理员组。我删掉它，重启应用池，第二天凌晨三点监控告警：503 Service Unavailable。不是代码崩，是Windows安全策略直接拦了——因为 impersonate 的账户没了密码缓存，又没开“以纯文本方式保存密码”，系统连自己都认不出来了。

　　提交工单那天下午四点十七分，孩子蹲在椅子上用蜡笔涂我的笔记本电脑触控板，蓝墨水糊了三个快捷键。我点开后台“在线客服”，弹窗里跳出一行字：“当前排队人数：127（预计等待6分42秒）”。六分四十二秒后，对话框自动跳进一个AI回复：“您好，请问是否需要查询套餐续费政策？”我敲：“503报错，impersonate账户凭据失效。”它回：“感谢反馈，我们已记录，工单编号为#W3-882019。”

　　鼠标垫起边了，左下角翘起来那一块老卡住Ctrl键。我重新提交一次工单，填完描述，选问题类型，点“上传截图”，网页卡在“正在上传…”——其实没卡，是它根本没发请求，Chrome DevTools里Network选项卡干干净净。我又试一次，这次选了“附件”按钮旁边那个小问号图标，点开才知道：只有开通“企业级支持包”的客户才能传图。我没开。我开了。但没付款，因为支付页弹出“检测到您存在超售空间历史，需先缴清2021年第三季超额存储费（共2.3G）”。我没超售。查日志发现是他们监控脚本把临时解压目录当成用户上传文件夹了。我截图给客服，对方说：“这是自动化误判，建议手动清空C:\\inetpub\\temp\\appPools\\并重启WAS服务。”——可那目录下全是GUID命名的锁文件，删一个，整个IIS就挂半分钟。这谁敢动。

　　桌上的外卖凉了，酱汁凝成褐色油斑，贴在盒盖内侧。我拨语音客服，接通前听见背景音里有人喊：“快把备案失败队列再跑一遍！”对面是个女声，语速平得像复读机：“您好，备案驳回原因不在我们平台判定范围内，建议联系管局核查。”我问：“那你们能导出最后一次HTTP头响应日志吗？”她停了两秒：“日志功能需单独购买‘安全审计模块’，基础版不含此项。”我笑了。她也笑了一下，很短，“嗯……祝您顺利。”

文章配图，仅供参考

　　优胜劣汰。这个词不是我说的，是他们销售在微信里发来的截图标题：“Windows站点权限合规升级方案——优胜劣汰，静默淘汰”。静默？我那天夜里三点改完ACL权限，还没来得及验证，就收到短信：“检测到非法进程调用System.Diagnostics.Process.Start，已自动隔离webroot目录”。他们用EDR插件扫了我的站点目录，只因为有个log4net配置里写了processModel="true"。可那是Log4Net的旧版默认项，二十年前就废弃了。他们连文档都没看，只认关键字。

　　同行老李上周也撞上了。他用的是同一套控制面板，也是IIS+ASP.NET Core。他在web.config里加了个，结果第二天所有iframe嵌套页面全白屏——不是前端bug，是控制面板后端脚本解析XML时，把节点当成了“用户自定义危险指令”，直接重写掉整个节。他打电话过去，技术说：“这个我们不推荐客户手动改，建议使用我们的‘防XSS加固向导’。”向导点开第一步就提示：“该功能仅限VIP3及以上用户开通。”

　　所以什么叫零越权？你按他们给的PDF逐字操作，照样503；什么叫零宕机？宕机前两小时他们发邮件说“即将执行热补丁升级”，但邮件标题写着“【非紧急】温馨提示”，正文最后一行小字：“补丁可能触发IIS应用池回收”。我盯着那封邮件看了三分钟，没敢点“忽略”。结果凌晨两点二十七分，三台服务器全掉连接。等我连上去，发现应用池状态栏写着“已停止”，启动它，五秒后又停。事件查看器里就一条警告：“无法加载模块：aspnetcorev2_inprocess.dll——签名验证失败”。他们签的证书去年九月就过期了，但更新脚本写死了只校验CN字段，不校验有效期。

　　我不怪自己手抖，也不怪老张半夜三点还回我微信说“试试把应用池改成经典模式”，更不怪客户非要加那个X-Frame头——我就是觉得荒谬。一套十年前就成熟的权限模型，硬被做成需要持续考证的玄学现场。备案驳回？不是你的HTML不合格，是他们的扫描器把robots.txt里的Allow: /当成越权放行；域名被墙？不是你内容违规，是你上个月工单里提了一句“希望开放TCP 3389用于调试”，他们人工审核员顺手把整个A记录标进了高危IP池。

　　明年到期就迁走。不带数据，不带日志，不带备份。只带一份ACL权限清单和三台服务器的icacls导出结果——自己配，自己压测，自己扛审核。至于那家厂商？我删了APP、清了浏览器缓存、退了客服群，唯一留下的，是桌角那张皱巴巴的发票复印件，右下角印着“本单据仅作付款凭证，不作为服务承诺依据”。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!