Windows服务器站点权限配置：12年经验一步到位防越权宕机

　　我原以为是百度又抽风，结果查一下收录——先登后台，再点“站点管理”，第三步才想起来密码得输两遍，因为上次改完权限后浏览器记不住了。那天在下雨，办公室窗沿积着水洼，倒影里晃着对面楼广告牌的“诚招代理”四个字，一闪一闪的。

　　六月七号早上九点十七分，客户老陈在群里甩了张截图：首页快照停在五月三号。他发了个“？？？”，后面跟了个流泪猫猫头表情包——是小王前天刚做的那个新表情包，绿色耳朵耷拉着，嘴角往下撇。我手悬在键盘上，没回。桌角烟灰缸里压着半截中南海，烟丝早凉透了，灰堆歪斜着，像根被踩过的火柴梗。

　　我查索引量，打开站长平台——点开，加载圈转了四次，卡在“获取数据中”。重启浏览器，清缓存，换Edge再试，还是转。而这时候小王在隔壁工位喊：“哥，你那台Win2019的IIS日志能导吗？我配的伪静态总跳403。”我没应声，但手指已经摸到服务器账号——不是用管理员账号登的，是那个叫“site_op”的普通用户，权限只够看应用池状态。这个我敢打包票：从2015年起我就不再用Administrator跑网站了。

　　可问题是，为什么连“site_op”都突然没权限读取站点根目录下的web.config？那天下午三点零三分，运维老李打来电话：“你那个iis站点，applicationHost.config里那段，inheritInChildApplications设成false了？”我嗯了一声，他说“哦那没事”，就挂了。其实我根本没听懂这句，只记得去年十月他帮我删过一个测试站，顺手动过host文件，后来我俩在食堂吃盖饭时他还笑：“你管这叫配置，我管这叫埋雷。”

　　结果第二天，友链全掉红。不是不显示，是点进去直接弹IE兼容模式报错：“无法显示此网页”。不是404，是ERR_CONNECTION_REFUSED。更邪门的是——我们主站PC端搜“xx品牌官网”还排第一，移动端搜同一词，前三页翻遍没影子。小王蹲在阳台收衣服，没收完，晾绳上还搭着条蓝裤子，水滴下来，在瓷砖上砸出三百七十二个深色圆点。楼下装修电钻突突突，像在敲我太阳穴。

　　我重装过PHP扩展、重配过URL重写规则、重跑过robots.txt校验。都没用。最后是在事件查看器里翻到一行黄色警告：“访问被拒绝（0x80070005）”，来源IIS-W3SVC-WP，任务类别“配置错误”，事件ID 2276。点开详细信息，路径指向D:\\wwwroot\\xxx.com\\config\\web.debug.config——这玩意儿我压根没建过。它怎么冒出来的？谁放进去的？我问小王，他说是上周五测试新版CMS时自动生成的；我问老李，他反问我：“你没开FSRM？没设审核策略？你真以为IIS会自己记谁删过谁改过？”

　　我查了一下那个自动生成的web.debug.config的创建时间：六月五号22:13。恰好是我们关掉所有测试账号、只留三个运营人员登录的那天夜里。而那天晚上八点二十分，客户老陈微信语音进来：“张工啊，咱们要不要把首页那个大图换成带二维码的？我朋友说现在都扫着进站……”我说好，挂了。他不知道，那张图上传路径刚好跨了两个IIS应用程序池——上一级用的是app_pool_01，下一级是app_pool_api，中间隔着个UNC共享映射盘符Z:。而这Z:盘的NTFS权限，我三年前设的继承权限，去年五月又被行政部IT批量刷过ACL模板……到底哪次更新的事我说不准。

　　优胜劣汰。这话不是安慰人的。真碰上越权，不是罚钱扣分，是整台服务器应用池凌晨三点自动回收三次后直接不拉起来——昨天半夜四点零一分，我盯着远程桌面里不断闪退的iisreset窗口，听着机房空调嗡嗡响，突然想起2013年做站群那会儿，一台虚拟机塞三十七个泛目录站，连数据库都共用一个实例。那时候哪有什么权限概念，只要index.html能打开，就敢跟客户说“已上线”。结果有次SQL注入直接把整个C盘users目录列了出来，对方SEO公司总监当场把泡面泼在我键盘上，汤水顺着USB口流进主板缝隙里，滋啦一声。后来我拿吹风机对着吹了十分钟，机器居然还活着。

　　所以这次我干脆没提“修复”俩字。我把D:\\wwwroot\\xxx.com整个拖进压缩包，加了密码，丢给老李，让他用新域账号重建站点。重建前我让他删掉所有组策略里关于“Authenticated Users”的继承项——删干净。他自己犹豫：“是不是太狠？”我说：“你记得当年我们给财务系统开个读取权限，结果市场部同事能改资产负债表吗？”他笑了，敲回车前还点了支烟，烟头亮起的时候，窗外电钻声突然停了。安静得吓人。

文章配图，仅供参考

　　我删掉了那个web.debug.config。没备份。删之前右键属性看了一眼，创建者SID是S-1-5-21-123456789-0987654321-1234567890-1001——不认识。不是小王，不是老李，不是我。是某个早就该注销掉的测试账号，名字叫test_bak_v2，最后一次登录是四月二十一号，距今四十一天。我原以为这种东西早该自动过期，结果它活到了六月，活成了最后一根压垮索引量的稻草。

　　阳台那条蓝裤子到现在还挂着。风一吹就晃。我懒得收。

　　明天先把手上那批页面删一半试试。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!