IIS权限总出错？15年录数据员揪出5大安全盲区

　　会议室空调在滴水，一滴、两滴、三滴，正落在他简历右下角那块咖啡渍上——我数到第七滴的时候才想起自己根本没看那份简历。前台在大声打电话：“您稍等！我们这系统正在同步！”声音穿透隔断板，像根细针扎进太阳穴。

　　他坐那儿转笔，笔是银色的，转得特别稳，手腕不抖，指腹有茧。我原以为是老运维，结果他开口说“我们做的是云原生PaaS层权限收敛”，我立马把“IIS权限总出错？15年录数据员揪出5大安全盲区”这行字从备忘录里划掉，改成了手写潦草的“优胜劣汰”。不是修辞，是实打实筛人：筛掉那种连applicationHost.config里location标签嵌套层数都数不对，还张嘴就说“最小权限原则已闭环”的。

　　第一个盲区：Everyone组还挂着呢。去年五月，在客户机房，我录入完327台服务器的ACL日志表，发现其中有46台IIS应用池身份用的还是IIS_IUSRS+Everyone组合拳——不是配错，是根本没删。那个戴眼镜的同事当场删了，三分钟不到，监控告警炸了十七个接口。他手指悬在键盘上，没动。我就知道他其实也没料到删完会崩。我盯着他右手无名指关节泛白，心里已经算了三遍：这人撑不过二面。果然，HR后来补话说他简历里写的“主导过12次IIS权限加固”，实际只参与过其中两次备份恢复操作，另十次全是别人回滚前截图发他微信留痕。

　　走廊有股消毒水味，混着打印机碳粉焦糊气。我说你刚提“身份联邦”，那Web.config里那段rules是手动配的还是靠ADFS策略下发的？他愣了半秒，转笔停了，笔尖朝下戳了下桌面——啪。我说别急，你先答这个：ApplicationPoolIdentity在Windows Server 2019之后默认继承哪个父组？他答“IIS_IUSRS”。我点头，又问：那它能不能直接加进本地Administrators组而不爆权限？他顿住，眨了两下眼。我摆手，“不用答了。”这不是考知识点，是测肌肉记忆有没有刻进手指头里。真正干过的，答案从嘴里跳出来比眨眼快。

　　第二个盲区：NTFS权限和IIS授权顺序被当空气。第三个盲区：web.config里deny users="?"和deny users=""混着用，但没人记得后者不拦匿名用户。第四个盲区：Application Pool Identity账户名后缀带$，结果脚本硬编码去查“IIS AppPool\\DefaultAppPool”却不加$，批量赋权全漏掉。第五个？就是有人把ApplicationHost.config的配置节锁死成read-only，再让CI/CD往里注入rewrite规则——改一行，重启八次，日志报“拒绝访问”七次，最后一次凑巧成功，就当问题解决了。上周五下午，我在Excel里给某金融客户整理权限基线核查表，看到他们自己写的《IIS加固SOP》第三页写着“建议统一启用动态ACL重载”，底下批注小字：“目前未实现”。我笑着把那一栏标红，填了“N/A”，顺手把旁边表格上一块干掉的咖啡渍圈起来，写了句“建议此处也加固一下”。

　　那个穿灰衬衫的女同事——就是上个月把C:\\inetpub\\wwwroot整个设成everyone full control，还截图发群里说“完成零信任落地第一步”的那位——她昨天离职了。走之前把所有内部Wiki页面里“最小权限”四个字替换成“最大方便”，ITSM单子备注写：“权限不是锁链，是梯子，谁爬得快谁赢。”我没拦，只在她提交的最后一份数据清洗报告里，把“IIS_007_v2.3_20260412.xlsx”文件名悄悄改成“IIS_007_v2.3_BROKEN.xlsx”，然后点了通过。

　　我迟到过一次。2026年5月，暴雨，地铁瘫了二十分钟。我踩着点冲进电梯，西装外套还滴着水，在门口甩了三下，水珠溅到前台接待台玻璃上，她没抬头。面试官已经坐在里面了，手里捏着我的纸质打印件——不是PDF，是A4纸双面复印的那种。他把我简历在桌上转了半圈，边角对齐桌沿，动作精准得像在调试伺服电机。我坐定，没寒暄，开口就问：“你上个项目，遇到最多次500.19错误的原因，排前三的分别是啥？”他答完第一点，我打断：“停。你上次重启w3svc前，查没查%windir%\\System32\\inetsrv\\config\\applicationHost.config的最后修改时间？”他摇头。我说：“那这问题，你压根没摸到边。”他嘴角动了一下，没笑出来。

　　不是所有盲区都藏在配置深处。有个小伙子——真小伙子，工牌挂绳还系蝴蝶结——他说自己写了个PowerShell脚本自动校验IIS权限链。我让他现场打开，他点开VS Code，缩略图里赫然是notepad++。我让他切屏，他鼠标滑到任务栏最右边，点了两下才调出PowerShell ISE。我说：“脚本在哪？”他敲了三条cd命令，第四条才cd进正确目录。路径里有个空格，他没加引号。我伸手按了Ctrl+C，没让他再敲。不是我不给机会，是他手没稳到敢在live环境里敲空格都不加引号。活人不会在这种地方赌概率。IIS不会陪人练手感。

文章配图，仅供参考

　　我今天没喝咖啡。水杯在桌上，杯底一圈浅褐色水渍。滴水声还在继续，嗒、嗒、嗒。他转笔转得更慢了，笔尖朝上，像支没装弹的枪。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!