Windows站点搭建的3个被忽略的安全断点

　　去年7月份，我替客户切了一次IIS站点回滚——不是因为崩了，是因为他们新招的渗透工程师在周会上甩出三张截图，说“你们这三处连基础防护层都裸着”。我盯着那三处看，手边咖啡杯上印着阿里云LOGO，杯沿有半圈指印没擦净。运维老张当时正蹲在机柜旁用手机电筒照U口，说光模块好像虚接。我原以为又是WAF规则冲突，结果发现压根没开WAF。

　　第一个断点：HTTP响应头里那个Server字段。不是让你删它，是别让它默认吐IIS/10.0 Windows Server 2019这种全量信息。好多团队把它当“调试便利”留着，直到某天蓝队同事扫完发来一份带时间戳的curl -v日志，里面清清楚楚写着“Server: Microsoft-IIS/10.0”，后面跟着两个换行和一个空格——就这空格，被当成指纹特征打了进来。我敢打包票，你改掉它，99%的自动化工具当场失焦。但没人动。为什么？因为前端同学说Chrome控制台里看着“亲切”。可笑吧？亲切能防住目录遍历吗？上周五下午四点十七分，后端小王自己写了个临时路由补丁去绕403，结果把web.config里那段全删了，顺手干掉了自定义错误页配置。现在客户访问/error.php，返回的是原始500错误堆栈，连源码路径都带出来了。这跟Server头裸奔是一个逻辑链上的锈钉子。

　　第二个断点在AppPool的标识账户。别再用ApplicationPoolIdentity了。真当它是上帝赐的最小权限？我数过，它在本地策略里偷偷继承了IIS_IUSRS组、Performance Monitor Users、还有两个你从没见过的SID（S-1-5-82-……）。上个月我们线上出过一次文件锁死，查到⭐️⭐️⭐️⭐️是LogParser跑定时清洗时调用了Windows Event Log API，而那个API恰好要求EVENTLOG_READ属性——AppPoolIdentity自带这个属性。它根本不知道自己被当成了管理员用。厂商销售昨天打电话过来问续约的事，顺便提了一句“你们是不是还在用默认池身份？”我反问他：“你们文档第23页那个‘推荐使用ApplicationPoolIdentity’，哪一页写了它会自动继承性能监控组？”他顿了两秒，说“呃……我们建议配完后再审计”。我说好，挂了。节点分布图上有个无关的小红点，在河北廊坊节点左上方偏移1.7厘米的位置，一直没人点开看过——跟这事也没关系，就是刚好扫到眼了。

文章配图，仅供参考

　　第三个断点……算了，不叫“断点”，叫“断层”。就是整个WebDeploy通道的认证方式。不是让你关掉MSDeploy，是别让msdeploy.exe -source:… -dest:auto,computerName=xxx,userName=xxx,password=xxx 这种命令裸跑在CI脚本里。明文密码塞进GitLab CI变量里？然后每天凌晨三点自动触发？我原以为大家早都切证书双向认证了，结果翻了七家客户的流水线模板，五个还带着password=。最离谱的是有家用了HashiCorp Vault做凭据管理，结果vault agent启动参数里硬编码了root token。我问后端，他说“流程审批要求必须先落地再报备”。流程啊……去年采购新服务器那会儿，财务要求所有设备采购单必须填“三年折旧率”，但我们那批HPE DL360 Gen10服务器官方只支持五年周期。最后怎么过的？KPI表格里手动把“三年”改成“叁年”——汉字，避开了OCR识别校验。这种事没人追究，但WebDeploy走明文密码，蓝队一扫一个准。

　　监控大屏上另一个指标抖了一下：数据库连接池闲置率，突然从62%跳到97%，持续四秒十七毫秒，之后恢复。谁都没在意，但它确实抖了。就跟那天下午茶水间，行政小李推着车过来倒水，我顺手接了纸杯，她多看了我一眼，说“你这杯子上次见还是三个月前”。对，就是印着阿里云LOGO那个。杯子底下还粘着半片茶叶渣。

　　优胜劣汰不是靠漏洞扫描分数筛出来的，是靠哪个团队先踩中第一个零日——或者，更惨一点，哪个团队先被客户法务发函问“贵司是否确认曾暴露未授权接口”。这三个地方，没有一个是CVE编号登记在册的，但每一条都卡在真实攻击链的腰部。它不拦爆破，不拦XSS，它拦的是“懒得翻文档的红队新人”。我试过在预发布环境关掉Server头、换掉池账户、封掉WebDeploy明文通道，整套改下来耗时二十三分钟，其中十八分钟花在说服测试同学别用本地hosts直连跳过CDN。改完跑了一周，没动静。什么报警都没有。安静得让我后怕——可能真有效，也可能，只是还没轮到他们。

　　下一步？我打算下周拉运维老张和后端小王一块重撸一遍msdeploy.exe的登录态缓存机制。不是用文档，是拿Process Monitor直接扒它读注册表的顺序。要是它真从HKLM\\SOFTWARE\\Microsoft\\IISExtensions\\SharedConfig\\里偷密码……那我们干脆把共享配置目录权限收成只读得了。别的，等他们下次发来截图再说。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!