Windows站点环境搭建的3个致命权限断点

文章配图，仅供参考

　　第一个断点在IIS应用池账户。客户非要用域账户跑，说“安全”。我劝他“本地系统账户够使”，他不信，结果部署完第一天，网站503报错。查日志发现，应用池账户对临时文件夹没写权限。增氧机在机房外嗡嗡响，我蹲在服务器前改权限，蚊子往灯上撞，胶鞋里的水早凉透了。改完重启，好了半天，第二天又挂——原来临时文件夹被杀毒软件锁了，应用池账户没解锁权限。后来我直接换了本地系统账户，客户还嘀咕“这样不安全”，我指着日志说：“安全是相对的，能跑起来才是真的。”那年我记得不太清楚，反正那月我多赚了三千，客户少赔了五万。

　　第二个断点在SQL Server的sa账户。客户图省事，所有服务都用sa跑，连前端Web都用sa连库。我原以为“权限分太细麻烦”，结果第三天，网站被注入攻击，数据库被删了一半。查日志发现，攻击者通过Web应用的漏洞，用sa权限直接删了表。那会儿饲料袋子上落的灰都厚了，狗在门口叫，我蹲在机房里恢复备份，手都在抖。恢复完我直接改了策略：Web应用用只读账户，后台管理用读写账户，sa账户锁死。客户还跟我争：“这样开发麻烦”，我指着被删的表说：“麻烦总比赔钱强。”后来他没再吭声，那年我记得不太清楚，反正他后来再没遇到过注入攻击。

　　第三个断点在文件系统权限。客户把站点文件放在D盘根目录，权限设成“Everyone可读写”。我原以为“这样方便”，结果第五天，网站被上传了木马。查日志发现，攻击者通过文件上传漏洞，把木马写到了D盘根目录，然后执行。那会儿有人在塘边蹲着抽烟，烟头掉在地上，溅起一片水花。我蹲在服务器前删木马，删完改权限：站点文件夹只给IIS_IUSRS和应用程序池账户读写，其他账户只读。客户还嘀咕：“这样上传文件不方便”，我指着木马说：“方便是给好人用的，坏人方便了，你就赔钱。”后来他没再改权限，那年我记得不太清楚，反正他网站再没被上传过木马。

　　前年老李那批也栽过权限上。他搞了个Windows服务器跑OA，权限设得松，结果员工离职前把数据库拷走了。那阵子连着下了几天雨，他蹲在塘边抽烟，烟头掉在水里，溅起一片涟漪。我问他：“权限没设好？”他点头：“没想到员工会干这事。”我说：“权限就像塘边的网，网眼大了，鱼都跑光了。”他后来改了权限，那年我记得不太清楚，反正他再没丢过数据。

　　现在回头看，Windows站点环境搭建，权限断点就像土塘里的死苗——你不管它，它就让你赔钱；你管它，它可能麻烦，但至少能跑起来。优胜劣汰，就是这么回事。那些栽在权限上的，要么是懒，要么是不懂，要么是太自信。我原以为“权限宽松点没事”，结果赔了钱；后来我懂了，“权限紧点，麻烦是暂时的，赔钱是长期的。”

　　那阵子连着下了几天雨，机房里的增氧机一直嗡嗡响。我蹲在服务器前改权限，胶鞋里的水早凉透了。客户在旁边抽烟，烟头掉在地上，溅起一片水花。他说：“这权限，真麻烦。”我抬头看他：“麻烦总比赔钱强。”他没再说话，蹲在旁边看我做完。那年我记得不太清楚，反正那月我多赚了三千，他少赔了五万。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!