IIS权限总出错？5大技术盲区90%管理员中招

　　去年二月份那会儿，我原以为IIS权限问题就是改几个文件夹的NTFS权限，结果被运维同事按在地上摩擦了三天——他甩过来的日志截图里，全是401.3和500.19的错误码，我盯着屏幕看了半小时，发现连临时文件目录的Everyone权限都被禁了，这哪是配置错误，分明是有人把IIS当成了Windows防火墙在玩。

文章配图，仅供参考

　　说到这儿必须吐槽下“劣币驱逐良币”这事儿。上周我帮客户修复一个伪原创工具导致的权限问题，发现他们用的IIS版本还是7.5，问为啥不升级，运维说“网上说新版本不稳定”——我查了下，那篇“不稳定”的帖子是2012年发的，作者连IIS Manager的截图都是模糊的。可客户就信这个，因为“老版本用着没出过事”——没出事是因为他们根本没敢动过配置，连修改默认网站绑定都要开远程会议讨论两小时。

　　对了，上周三定时发布又失败了一次，编辑器里没保存的草稿全丢了。我查日志发现是IIS的“应用程序池自动回收”把进程掐了，而回收时间刚好卡在发布前两分钟——更绝的是，运维把回收间隔设成了“按需回收”，结果每次发布都要手动重启池子。我问他为啥不改成“固定时间回收”，他说“网上说按需回收更省资源”——我翻了下那篇“教程”，作者连“应用程序池”和“工作进程”的区别都没讲清楚。

　　说到“网上说”，上周领导半夜在群里@全员改标题，说“竞争对手的权重涨了，肯定是用了什么黑科技”。我点开对方网站一看，发现他们连HTTPS都没配，权重涨纯粹是因为发了三百篇“XX十大排名”的伪原创——可领导不信，非要我们研究“他们的IIS是怎么配置的”。我花了半天时间扒对方服务器的响应头，除了看到个过期的Server: Microsoft-IIS/8.5，啥有用的都没找到——最后领导说“再找找，肯定藏得深”，我差点笑出声。

　　回到IIS权限的五大盲区，第一个就是“继承权限”的坑。我见过太多人直接在文件夹上点“编辑权限”，结果发现改了半天没生效——因为他们没注意到“高级安全设置”里的“包括可从父对象继承的权限”选项是灰的。更坑的是，有些人为了“彻底控制权限”，会勾选“替换所有子对象权限”，结果把网站根目录下的所有文件权限都重置了，连log目录的写入权限都没留，第二天看日志发现全是“访问被拒绝”，还以为是黑客攻击。

　　第二个盲区是“匿名身份验证”的账户。IIS默认用IUSR账户访问文件，但很多人会改成“应用程序池标识”或者自定义账户——改完发现网站能访问了，结果FTP上传文件时提示“530 登录失败”。我原以为这是FTP服务的问题，结果查了半天发现是IIS的“匿名身份验证”和FTP的“用户隔离”冲突了——前者用IUSR，后者用FTP用户，权限根本对不上。

　　第三个是“ISAPI筛选器”的权限。有些老系统还在用ASP，需要配置ISAPI扩展，但很多人只给了“读取和执行”权限，没给“写入”权限——结果网站能访问，但上传文件时提示“服务器错误”。我遇到过一个更绝的案例：客户为了“安全”，把所有ISAPI扩展的权限都禁了，结果网站直接显示“500.19 配置错误”，查了半天发现是.net framework的ISAPI模块被禁了，连默认文档都加载不了。

　　第四个是“应用程序池”的标识。很多人喜欢用“NetworkService”或者“LocalSystem”，觉得这样“权限高”——结果网站被挂马后，黑客直接用系统权限提权，把整个服务器都控了。我见过最离谱的是，有个运维把所有应用程序池的标识都改成“Administrator”，理由是“这样不会报权限错误”——结果那台服务器三个月被黑了五次，每次都是因为IIS进程以管理员权限运行，黑客直接上传webshell，连免杀都不用做。

　　第五个是“URL重写”的权限。有些人为了“SEO优化”，在IIS里配了大量重写规则，但没给“URL重写模块”写入权限——结果规则生效了，但日志写不进文件，排查问题时连错误码都看不到。我上周刚帮客户解决过这个问题：他们的重写规则里有个“{R:1}”的变量，结果因为日志目录没写入权限，所有请求都被重定向到了“/error.html”，而error.html本身又被重写规则循环引用，最后网站直接死循环，浏览器显示“连接重置”。

　　说到底，IIS权限问题根本不是技术难题，是“信息差”在作怪。那些“网上说”的“优化技巧”，十有八九是拿生产环境当试验田的二愣子写的，可偏偏有人信——就像上周那个客户，非说“竞争对手的权重涨了是因为IIS配置了‘黑科技’”，结果我查了半天发现，对方连SSL证书都是自签的，权重涨纯粹是因为发了三百篇“XX十大排名”的伪原创。

　　下次再遇到IIS权限问题，别急着上网搜“五大盲区”——先看看日志，查查权限，再想想是不是有人乱改配置。如果实在搞不定，直接找运维——他们可能不懂SEO，但至少知道“应用程序池”和“工作进程”的区别，比网上那些“大神”靠谱多了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!