Machine \ ASPNET用户作为管理员角色的含义？

Question

我们正在收到第三方的申请，该申请最终将安装在我们的生产环境中。

作为设置的一部分，他们希望我们将Machine \ ASPNET设为管理员帐户。

在我看来，这似乎是不好的做法，但如果我要推迟这一点，我需要具体的理由。

以管理员身份运行Machine \ ASPNET会有什么影响？

其他详情：

• 这将部署在Windows Server 2003上的IIS6下
• 这是一个三层应用程序。我相信他们希望Machine \ ASPNET用户成为将在其中部署WCF服务的中间层的管理员。

Answer 1

正如您所猜测的那样，让ASPNET帐户成为Administrators组的成员是一个非常非常糟糕的主意。

这是因为对您的第三方应用程序（或针对任何其他以ASPNET运行的Web应用程序）的成功利用将获得对该计算机的管理访问权限。这是Web应用程序帐户通常具有低权限的主要原因。

您可以向第三方请求他们需要的具体权利，而不是授予ASPNET管理员权限。然后，您可以授予ASPNET这些权限。这将限制成功利用可以实现的目标。

例如，如果应用程序需要对HKLM下的注册表进行读/写访问，则可以授予ASPNET访问权限。因此，利用漏洞可能会破坏注册表，但不会破坏文件系统。

Answer 2

如果供应商提供此建议，您通常会发现他们已经在“太难的篮子”中正确地完成了工作。他们很可能会遇到权限问题，并且建议授予最广泛的访问权限以解决问题，而不是应用适当的尽职调查并调查路由原因。

正如其他人所说的那样，回过头来向他们施加压力以获取更多细节。 ASPNET帐户以有限的权限运营是一个很好的理由;供应商有责任正确解释为什么应该妥协安全实践，以便运行他们的产品。

Answer 3

我同意这是一个非常糟糕的主意，如果由于某种原因网站上存在安全漏洞，攻击者几乎可以通过服务器做他们想要的事情。

您需要找出用户需要成为管理员的原因，获取用户需要执行的操作的确切列表，并为这些任务授予权限。如果他们不能给你一个正确的清单然后拒绝它，它表明他们不太了解他们的应用程序，这应该足够担心。