是否可以安全地将ApplicationPoolIdentity写入权限写入Web应用程序文件夹内的文件夹？

Question

最近我们实现了一个在我们的App_Themes文件夹中动态生成LESS文件的功能。这是在应用程序启动时完成的。

这就要求我们给到App_Themes文件夹中的@ ApplicationPoolIdentity @写访问。

我们的系统管理员，但是，不希望我们给@ ApplicationPoolIdentity @的写访问。出于安全原因。

这样做没有安全感吗？什么是安全风险？

Answer 1

如果有在您的应用程序，或在ASP.NET或IIS本身的任何远程代码执行漏洞，任何人通过应用程序或Web服务器危及您的系统可能会得到一个命令shell，作为例如记录DefaultAppPool在您的服务器上。

如果有写访问到文件夹，那么攻击者可以写入这个文件夹本身。

例如，他们可以在您的网站上托管他们自己的内容，网址为example.com/App_Themes/index.html，或者他们可以上传允许管理员升级的漏洞利用。在后一种情况下，他们可能也需要可执行权限，除非他们可以在某种程度上使Web服务器执行它，例如通过请求丢弃的漏洞的URL。

当然，这个漏洞已经在那里在这种情况发生首位。防止写入访问也可以被视为“纵深防御”，但是如果您的应用程序需要这样做，那么它可能是一个可接受的风险。另一种方法是找到另一种实现所需功能的方式。