Windows站点搭建常被忽略的3大安全断点

　　去年春天，小孟在门户干了四年频道编辑，专题页改版被产品推翻三次，上线前夜又改回初版——那会儿我正蹲她后台看IIS日志，她泡的枸杞茶凉透了，杯底沉着三颗蔫掉的枸杞，像三粒没点着的哑火。

　　不是说Windows搭站不熟，是熟得太油滑。老手才最敢漏掉那三处——不是不会配，是“没必要配”。结果呢？上季度末某天凌晨两点十七分，小孟发来截图：首页被塞进个base64编码的iframe，来源IP是泉州某宽带小区的拨号路由，路径居然是C:\\inetpub\\wwwroot\\upload\\2024-03\\temp\\，而那个temp文件夹……是我上周帮她清缓存时顺手勾选了“继承父级权限”给放过去的。

　　第一断点：applicationHost.config里那行，谁都知道要关，可没人动它。为啥？因为开它，编辑部同事能直接用浏览器上传PSD到/media目录——小孟说过：“我们又不做支付，挂个banner怕啥？”她说话时正把一张活动海报拖进UEditor，鼠标右键弹出菜单卡了十八秒，她叹气，手指悬在半空，指甲盖上有枚脱了一半的银色亮片。

文章配图，仅供参考

　　第三断点……算了，先说个闲的：前两天翻小孟电脑回收站，看见个删了的文件叫“转载授权函_终稿_v3（勿删）.docx”，点进去是空的，只留个修订标记：作者名被红叉划掉，换成“栏目组代拟”，底下批注写着“法务说‘已授权’三个字必须加粗加大号”。她边删边接电话，听筒里传来对方编辑的声音：“……你们之前发的那篇，文末二维码跳转到竞品APP，我们没法签……”她应着，左手无意识转圆珠笔，笔帽掉了，滚进键盘F键和G键之间缝隙里，再没拿出来过。

　　第三断点：web.config里那个。看着是限制上传大小？错。它只管Asp.NET管道，不管静态文件上传——只要文件扔进upload/目录下.php/.asp/.aspx扩展名的脚本，IIS照样收。去年春天我就见过，一个带SVG渲染漏洞的图片文件，实际是嵌套了JScript.Encode的恶意payload，被当成正常图片放进media/upload/，然后用

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!