Serviços de rede Gravar / modificar permissões na pasta Inetpub Problemas de segurança potenciais

Question

Eu tenho um aplicativo da web asp.net que é executado como um sistema de gerenciamento de conteúdo para um site.

Foi originalmente em um servidor IIS6. No entanto, o aplicativo da Web foi recentemente movido para um servidor II7. Após a mudança, meu sistema CMS não funcionou mais, pois recebi uma mensagem de erro:

O acesso ao caminho 'C: \ inetpub \ SITEFOLDER \ FILENAME' é negado.

Toda vez que eu salvar uma página no meu sistema CMS, preciso gravar em um arquivo aspx no servidor, bem como atualizar o arquivo web.sitemap no servidor.

Eu comparei as permissões de arquivo entre os dois servidores e notei que o antigo servidor IIS6 tinha permissões de gravação / modificação na pasta inetpub para o usuário "Serviços de rede" que era transferido para todos os arquivos do site no servidor.

O novo servidor não possui "Serviços de rede" com permissões de gravação / modificação definidas na pasta inetpub. Qual é obviamente a razão pela qual meu sistema CMS não está funcionando no novo servidor.

A solução é, obviamente, definir as permissões Write / Modify na pasta Inetpub no novo servidor para que o ASP.NET tenha as permissões adequadas para gravar e modificar qualquer arquivo dentro do site.

A minha pergunta é, esta é uma solução excepcional em um servidor web de produção. Existe alguma brecha de segurança que estou abrindo, permitindo que os Serviços de Rede tenham permissões de Gravação / Modificação na pasta inetpub? Eu sei que dando as permissões de gravação / modificação IUSER em toda a pasta inetpub pode levar a problemas de segurança e você tem que ter cuidado com quais arquivos são dadas permissões de gravação para o IUSER, eu só não sabia se a mesma regra aplicada à "Rede Serviços "usuário.

    

Answer 1

por padrão no IIS 7.5, o applicationpoolidentity (também conhecido como i_AppPoolName) é usado. Eu NÃO daria permissão para gravação e só concederia na (s) pasta (s) necessária (s) para dar suporte ao seu aplicativo. O serviço de rede era a conta padrão no IIS 6 e não era a melhor conta. MS fez uma alteração no 7.x.

'observe que o nome do pool de aplicativos padrão deve ser alterado para o que você tiver. ICACLS C: \ inetpub \ wwwroot / concessão "IIS AppPool \ DefaultAppPool" :( M)

Você pode fazer isso a partir da GUI em r2 / iis 7.5

A outra opção é conceder ao grupo IIS_IUSRS modificar, a linha de comando do pool de aplicativos acima é a mais segura. Eu apenas não concederia a modificação em todas as pastas. Pessoalmente, uso a arquitetura do IIS_IUSRS perms, pois meus servidores não são servidores de hospedagem compartilhada.