是否可以安全地將ApplicationPoolIdentity寫入權限寫入Web應用程序文件夾內的文件夾？

Question

最近我們實現了一個在我們的App_Themes文件夾中動態生成LESS文件的功能。這是在應用程序啓動時完成的。

這就要求我們給到App_Themes文件夾中的@ ApplicationPoolIdentity @寫訪問。

我們的系統管理員，但是，不希望我們給@ ApplicationPoolIdentity @的寫訪問。出於安全原因。

這樣做沒有安全感嗎？什麼是安全風險？

Answer 1

如果有在您的應用程序，或在ASP.NET或IIS本身的任何遠程代碼執行漏洞，任何人通過應用程序或Web服務器危及您的系統可能會得到一個命令shell，作爲例如記錄DefaultAppPool在您的服務器上。

如果有寫訪問到文件夾，那麼攻擊者可以寫入這個文件夾本身。

例如，他們可以在您的網站上託管他們自己的內容，網址爲example.com/App_Themes/index.html，或者他們可以上傳允許管理員升級的漏洞利用。在後一種情況下，他們可能也需要可執行權限，除非他們可以在某種程度上使Web服務器執行它，例如通過請求丟棄的漏洞的URL。

當然，這個漏洞已經在那裏在這種情況發生首位。防止寫入訪問也可以被視爲「縱深防禦」，但是如果您的應用程序需要這樣做，那麼它可能是一個可接受的風險。另一種方法是找到另一種實現所需功能的方式。