Windows站点环境搭建的3个致命安全断点

文章配图，仅供参考

　　第一个断点是Web.config里那个，我敢打包票，全公司七十六个Windows站点，有六十三个把allowDoubleEscaping设成true，就为了解决前端路由带%2F的问题。不是不会配URL重写，是压根没进过IIS管理器的“请求过滤”二级菜单。上周五下午三点，后端老陈在会议室用投影仪调IIS，投影突然黑屏，他蹲下去捅插线板，插座冒了股青烟，我们谁也没喊停，因为大家心里都清楚：就算修好了，他照样会勾选“允许未注册的扩展名”。这个我敢打包票。

　　第二个断点更绝——APP_POOL_IDENTITY权限滥用。你以为它只是权限高？错。它是活的寄生虫。比如某站用了ASP.NET Core 8自托管，却还傻乎乎挂在DefaultAppPool下，而那个池子的Identity是ApplicationPoolIdentity，表面看干净，实则只要挂个Log4Net写本地日志、再碰巧启了Remote Debugging，攻击者就能从%SystemDrive%\\inetpub\\logs\\LogFiles\\W3SVC1下顺藤摸到web.config的备份文件——因为IIS会自动生成.w3c格式的日志，而日志路径默认可读。我原以为他们至少会改下log目录归属组，结果昨天翻了五台服务器，四台还在用C:\\inetpub\\logs\\；剩下那一台？目录挪到了D盘，但ACL继承没关，Domain Users全都有Read权限。桌面那个没关的录屏窗口正对着Event Viewer，里面弹出三条警告：Event ID 1002，来源W3SVC，内容是“匿名访问成功”。没人去关。

　　第三个断点藏得最深：Web Deploy发布的临时包残留。没人当回事。可它真出过事。去年11月某次灰度发布后，发布机上残留了一个DeployPackage_20250711_164322.zip，解压密码就写在CI脚本注释里：“test123”。这事儿是前端小李撞见的，她顺手把zip拖进VS Code，看到web.config里连数据库连接字符串都明文贴着，吓得直接退出了IDE，连Ctrl+Z都没按。后来查Git历史，那个注释是运维同事自己加的，说是“方便排查”。方便？方便谁？方便红队扫到后，拿这个包反推整个部署拓扑。现在我们产线环境还是用Web Deploy自动推，但所有发布机每天晚上八点定时删temp，可删的是C:\\Windows\\Temp，不是C:\\Users\\svc_webdeploy\\AppData\\Local\\Temp——那个路径在Azure DevOps Agent配置里硬编码，没人动过。我试过改，改完第二天CI就挂，报错：“无法访问\\\\?\\UNC\\server\\share\\temp”，其实是因为权限组名多打了个空格。这事我说不准。

　　Lighthouse跑分截图发到群里没人回，不是因为忙，是图里那个“Secure Contexts”标红了，底下写着“Mixed Content: active (script)”，而所有人点开链接都是HTTP的API地址，就没人去瞅一眼web.config里的那段被注释掉的HSTS头。对面工程师换了一根充电线——Type-C公对公，亮蓝灯，但他笔记本USB口已经烧黑了两个触点，充不上电还得用扩展坞。CDN账单上周涨了十八倍，不是流量暴增，是WAF规则漏了，导致大量恶意POST打穿缓存直击IIS，结果KPI折算时把WAF成本全摊给前端性能小组，PM居然签了字。

　　优胜劣汰？没错。三个月内，三个站点因为这三个断点被扫出RCE或信息泄露，全部下线，负责人调岗——一个转测开，一个去做内部工具链，剩下一个干脆离职考公去了。不是技术不行，是搭环境那十分钟里，没人愿意点开“高级设置”里那个小三角。昨天下午倒水时，行政新来的小妹问我：“你们总说‘环境’，到底啥叫环境啊？”我没答，拧紧水壶盖就走了。水壶是不锈钢的，内壁有一圈洗不净的茶渍，像年轮。

　　我现在只做一件事：在所有CI流水线的pre-deploy钩子里，插一段PowerShell检查——检查Web.config是否含allowDoubleEscaping=true、检查APP_POOL_IDENTITY所属组是否包含Domain Users、检查DeployPackage_.zip是否存在于Agent临时目录。如果任一命中，立刻fail，不给merge。至于那个录屏窗口？还没关。等它录满两小时自动停吧。反正今天不重启IIS。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!