大家好： 我們公司因?yàn)樾枰肔ocalSystem去做一些功能，但是查詢網(wǎng)上說，操作權(quán)限很大，未授權(quán)的用戶上傳自己的內(nèi)容時(shí)，如果應(yīng)用程序池以Local System賬號(hào)身份運(yùn)行，那么這個(gè)用戶可以在Web服務(wù)器中執(zhí)行任何操作。是不是指用戶上傳一個(gè)木馬文件？具體有怎么樣的風(fēng)險(xiǎn)呢！
2 回答
侃侃無極
TA貢獻(xiàn)2051條經(jīng)驗(yàn) 獲得超10個(gè)贊
確實(shí)風(fēng)險(xiǎn)大，建議別這樣做。
尤其是當(dāng)iis出現(xiàn)新的漏洞時(shí)，黑客直接入侵就是system了；連提權(quán)都省了，傷不起的。
我們這邊都是按站點(diǎn)使用應(yīng)用程序池權(quán)限運(yùn)行。
需要LocalSystem的部分則做成windows服務(wù)，站點(diǎn)發(fā)送消息給服務(wù)，服務(wù)處理具體事項(xiàng)。
開滿天機(jī)
TA貢獻(xiàn)1786條經(jīng)驗(yàn) 獲得超13個(gè)贊
前提是程序中存在漏洞，用戶可以上傳代碼。
如果LocalSystem用戶具有管理員權(quán)限，可以通過上傳的代碼執(zhí)行管理員的操作，比如刪除一些文件。
- 2 回答
- 0 關(guān)注
- 785 瀏覽
添加回答
舉報(bào)
0/150
提交
取消