Windows站点搭建的3个被忽视的安全断点

　　去年十一月，客户在茶水间说“先做出来看看”，我点头。投影仪在隔壁会议室嗡嗡响了整下午，像台快散架的拖拉机——没人去关，也没人嫌吵。

　　我原以为就改个IIS绑定端口的事，结果他打开后台上传了三套WordPress主题，全带远程PHP调用；我拦了一次，他转着笔说“淘宝那样的，不就是堆功能堆出来的？”笔尖划在笔记本上吱啦一声，停在“安全组放行8080端口”那行字上没写完。桌上那盘橙子放了四天，果皮发干，没人碰过一口。

　　第一个断点是Web.config里那段——他非要加个X-Powered-By: PHP/7.4，说“看着热闹”。我说Windows服务器哪来的PHP/7.4，他说：“你加个就行，又不真跑。”我加了。上线第三天，爬虫扫到这行头，反向查出服务器版本、.NET框架补丁号，顺手爆破了那个连密码都没改过管理员账户的ftp站点。他打来电话问“能不能把橙色改成深一点的橙”，我没接，挂了。

　　第二个断点是他坚持用Administrator账号跑ApplicationPoolIdentity。销售早把合同签了，还顺手勾选了“含基础安全配置”。我当场翻出MSDN里那段警告文字给他念，他边听边转笔，笔掉地上捡起来，说：“哎呀你直接改，改完我付尾款。”尾款没结。拖了两个月。上个月他忽然发微信：“源码能打包吗？我要给外包团队看。”我没回。回一条微信得先解锁手机、点开对话框、输入“源码不属于交付范围”，再删掉，再打“按合同第二条”，再删，最后发了个句号。他秒回：“哦。”

　　第三个断点最绝：他在IIS里把整个C:\\inetpub\\wwwroot设成了共享文件夹，权限开到Everyone-完全控制，理由是“要让财务部的小王也能上传年报PDF”。我截图发过去，他回复：“PDF不都是公开的吗？”我说PDF里有扫描版工资表，表格角落印着身份证号后四位和开户行。他顿了两分钟，回：“那…删掉呗？”我删了。五分钟后他发来新PDF，命名是“2023年Q4薪酬汇总（终版V2_内部勿传）”，上传路径还是\\\\server\\wwwroot\
eports\\，而这个共享文件夹的NTFS权限…算了，我不提了。反正第二天，有人用他办公室WiFi连进来，下载了三个月前所有备份日志——那里面明文存着当年他用邮箱注册的所有第三方API Key。

　　电梯里遇到技术部老张，他看见我拎着笔记本进地下车库，问：“又给‘淘宝那样’的站擦屁股？”我点头。他叹气：“上个月那个做‘区块链茶叶溯源’的，客户要加人脸识别登录，用的还是ASP.NET Web Forms + jQuery，人脸识别SDK只给JS SDK，他让程序员把SDK塞进.cshtml里，还配了个‘防劫持’弹窗——弹窗代码里写了document.write('')。CDN域名去年七月就被黑产抢注了。”老张说完按了一楼，我按了负二，门关上之前他补了句：“他们不是不信你，是信‘先做出来看看’这句话比信你十年经验还笃定。”

　　所以什么优胜劣汰？淘汰的是敢写“禁止修改Web.config头部字段”的人。活下来的，是那个每次部署前手动删掉X-AspNet-Version、X-Powered-By、Server头，在IIS重写规则里加三条空规则屏蔽常见扫描路径，然后对着客户笑的人。我上次删得漏了一条：/web.config?xxx=1，他后来自己用浏览器输进去看了下——看到底下明晃晃的，里头密码是明文，数据库地址是192.168.0.101，连防火墙都没拦。他截图发群里问：“这个地址是不是我们内网？”没人答。群里静了十七分钟。我退出群聊，删了记录。

文章配图，仅供参考

　　对了，那盘橙子，上周保洁阿姨收走了。我看见她掀开盖子，用夹子夹起一块，闻了闻，又放回去。她没吃。我也没吃。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!