Zhi*_*ang 6 security iis administrator
我的网络应用程序在Windows Server 2003下的IIS 6.0中运行,我们都知道在这种情况下,IIS使用用户帐户"网络服务".
我碰巧必须允许某些用户在我的网页上执行某些操作,并且该操作需要管理员权限.
对我来说最懒的解决方案似乎是向管理员组添加"网络服务",它确实有效.
我的问题是,这个解决方案有多危险,以及它以何种方式损害我的Web服务器的安全性？
这通常是"一个坏主意".如果这是面向公众的服务器,那么这是一个非常糟糕的主意.
你应该做什么,这就是我们如何处理这样的问题,沙盒是你需要在另一个进程中执行的特定管理任务,例如具有提升权限的Windows服务.
然后,我们在Windows服务中托管远程服务器,并通过命名管道或TCP/IP与服务进行通信(如果是机器到机器,则这是通过后端专用网络).
有关更多信息,请参阅我为其他用户提供的有关类似问题的答案:
更好的方法是永远不要在Web应用程序和Windows服务之间进行直接通信,而是通过诸如作业或消息队列之类的中介.您的低权限应用程序会请求执行管理任务,提升的特权服务会从队列中读取这些任务并将其执行.
在这两种情况下,您都应该确保不要忽视每项任务的责任.即确保如果任务是在服务器上创建新的Windows帐户,则不要让新帐户获得超出其需要的权限.
| 归档时间： |
|
| 查看次数： |
19606 次 |
| 最近记录： |