Windows多媒体站点权限配置安全落地指南

　　去年八月份，我蹲在工位上查收录，查到第三遍的时候发现——不是爬虫没来，是来了但不抓多媒体目录。不是 robots.txt 挡着，是挡了也没用，因为目录里连 index.html 都没生成。我原以为是 Nginx 重写规则又抽风，结果翻 IIS 日志时听见隔壁装修的电钻声“嗡——”一声压过所有键盘敲击，持续四十七秒。群里老张发了个“????”表情包，连发三串，后面跟一句：“你站缩略图挂了？我点开全是 403。”

　　查一下收录。打开站长平台。输入域名。等三秒。点“资源索引量”。再点“按目录筛选”。手抖点快了，点成“按状态筛选”，又退回来。再输一次。回车。页面空白两秒。刷出来——/media/ 下零条。/uploads/ 下零条。/video/ 下……等等，/video/ 根本没进过索引池，连个失败记录都没有，像从来没存在过。我敢打包票，这个目录结构去年六月上线时被百度 spider 看见过三次，最后一次是七月十九号凌晨两点十一分，日志里清清楚楚写着“200 GET /video/2023-07/index.html”。可八月一号之后，全断了。到底是哪次更新的事我说不准，可能是补丁 KB5029244，也可能是客户自己登服务器改了 ACL 权限，还可能是那个实习生误删了 Application Pool 的身份上下文——但那天雨下得特别大，窗玻璃全是水痕，我看不清外面停车场的车牌。

　　外链失效这事最恶心。友链页上三百七十二个词，其中五十一个带 /media/ 路径的 a 标签，全变成红叉。不是跳转失败，是跳转后返回空响应体，Content-Length: 0。小陈上周打电话催我：“王工你看看啊，我这边友链监控告警一直响，是不是你们反向代理崩了？”我没接话，只盯着桌上的烟，滤嘴被捏扁了，没点，就搁那儿。他接着说：“我们技术说你们返回头里缺 Server 字段，不符合 RFC——你听听这叫人话？”我嗯了一声，把烟盒翻过来，背面印着“吸烟有害健康”，油墨有点晕开。

　　快照回退这事更荒谬。八月十号快照还是七月二号的，八月二十号还是，到八月二十八号，突然跳回五月十八号。不是降权，是时间线乱了。就像有人拿剪刀把存档带剪碎再胡乱拼回去。我导出过两次 snapshot XML，对比过 meta description 字段，一模一样；但标题前缀从“【高清】”变成了“【试看】”，中间隔了整整两百零六天，没有中间态。我问百度反馈中心那个叫林薇的姑娘，她回复说：“请确认静态资源可直访。”我说能啊，我本地 IE11 用 http://localhost/media/test.mp4 就能播。她再没回。阳台的衣服没收，被淋透了，滴水在地板缝里积成一条黑线。

　　采集被识别这事纯属凑巧撞上。我们有个旧栏目 /gallery/，三年前做的，模板里埋了 base64 编码的图片路径。某天下午四点零七分，后台统计突然显示三分钟内八百多次 GET /gallery/?id= 后面跟着一串超长参数。我以为是爬虫，查 UA，全是“Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36”。我截图甩给客户：“您家运营又批量点错了？”客户秒回：“我们没点。”然后他自己登录后台，点了三下“刷新预览”，页面弹出“权限不足，请联系管理员”。他补了一句：“哎？我刚好像动了IIS里的匿名身份验证设置……”

　　说回“优胜劣汰”。不是算法变狠了，是Windows站点早该洗一遍了。十年前我们做站群，同一台物理机跑二十七个子站，IIS 共享 ApplicationPoolIdentity，靠 web.config 里那几行 … 勉强撑住。现在呢？新站上线连 appcmd.exe 都没人摸，全靠点点点。ACL 继承勾没打、NTFS 权限漏了一层、IIS 用户组没加到 IIS_IUSRS——全卡在 multimedia 这个口子上。因为图片、视频、音频这些资源默认不走 ASP.NET pipeline，不触发身份模拟，不校验 web.config，只认 Windows ACL 和 MIME 映射。而绝大多数人改权限，只改得到 C:\\inetpub\\wwwroot 的文件夹属性，改不到 C:\\Windows\\System32\\inetsrv\\config\\applicationHost.config 里那一行 的父级 ——这一行锁死了所有静态资源的执行上下文切换。这个我敢打包票。其他？不知道。反正去年八月之后，同行群里再没人晒“单页面收录破万”的截图了。

　　去年做站群那会儿，老刘在河北租的 IDC，两台塔式机叠在机柜里，风扇声比空调还响。他写了个批处理，每天凌晨三点自动给每个子站的 media 文件夹 chown -R iis_iusrs:users，硬扛了两年。后来他卖站，买家第一天就中勒索病毒，整盘加密。我去看他，他正用记事本写解密脚本，旁边泡面桶里还插着根没吃完的火腿肠。他抬头说：“现在都不用手动配权限了，一键加固工具满天飞。”我说：“工具配的是啥？”他笑：“配的是‘已配置’这三个字。”

文章配图，仅供参考

　　所以这指南站得住脚的地方，就一个：优胜劣汰。不是淘汰技术差的，是淘汰还信“只要页面能打开就算正常”的人。不是算法变聪明了，是它终于懒得替你兜底了——你给它一个没 ACL 的 /media/ 目录，它就当不存在；你让它抓一个 HTTP 200 但 Content-Length 0 的视频页，它就当那是蜘蛛网；你把友链指向一个权限继承断裂的 /uploads/2023/，它就当那链接根本没写。就这么干脆。没有警告，没有第二次机会，没有快照缓冲期。我桌上那包烟剩最后三根，没抽，明天先把手上那批页面删一半试试。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!