A adição do grupo “Authenticated User” a uma pasta dentro da pasta wwwroot causará falhas de segurança?

Question

Eu adicionei e dei ao grupo "Authenticated User" as permissões modify / read / list / write para uma sub-pasta dentro da pasta wwwroot. Isso causará uma falha de segurança?

É assim, qual é a melhor alternativa? Melhor ainda, existe uma maneira que eu possa dar apenas a permissão do PHP.exe para escrever neste diretório?

Eu fiz isso para permitir que o PHP (usando o Joom! um CMS) possa gravar em certos diretórios dentro desse subdiretório. No entanto, apenas dando o acesso write and modify IIS_IUSRS ou IUSR não funcionou.

    

Answer 1

Como linha de base, dar acesso a qualquer coisa em Write em uma pasta de conteúdo é um furo potencialmente explorável. Se alguém puder gravar nesse local, poderá criar (por exemplo) código não autorizado ou inesperado ou desfiguração nesse local.

PHP é um processo que é executado com uma identidade de usuário; os processos não possuem uma identidade inerente por conta própria *, eles agem em nome da identidade que os inicia.

Para responder à pergunta "melhor alternativa": se seu aplicativo precisar, você precisará. Mas você está à mercê do aplicativo recebendo a segurança (e a segurança de quaisquer aplicativos, scripts ou ferramentas publicadas internas) corretamente.

* pedantry corner: Obviamente, os processos têm um token de processo; a questão implicava que era possível conceder permissões diretamente a um EXE e não ao usuário desse EXE, o que não é possível.