授予ApplicationPoolIdentity对Web应用程序文件夹内的文件夹的写访问权限（安全）吗？

Question

最近，我们实现了一项功能，该功能可在App_Themes文件夹中动态生成LESS文件。 这是在应用程序启动时完成的。

这要求我们授予@ ApplicationPoolIdentity @对App_Themes文件夹的写入权限。

但是，我们的系统管理员不希望我们授予@ ApplicationPoolIdentity @那个写访问权限。 出于安全原因。

这样做不安全吗？ 有哪些安全风险？

Answer 1

如果您的应用程序中或ASP.NET或IIS本身中存在任何远程代码执行漏洞，则通过您的应用程序或Web服务器破坏系统的任何人都可能会获得命令外壳，并在服务器上以DefaultAppPool身份登录。

如果对文件夹具有写访问权限，则攻击者可以自己写入该文件夹。

例如，他们可以在您的网站上将自己的内容托管在example.com/App_Themes/index.html ，或者他们可以上载允许特权升级到管理员的漏洞利用。 在后一种情况下，他们可能也需要可执行权限，除非他们可以以某种方式使网络服务器执行它，例如，通过请求删除的漏洞利用程序的URL。

当然，此漏洞必须首先存在。 阻止写访问也可以视为“深度防御”，但是，如果您的应用程序需要这样做，则这可能是可以接受的风险。 一种替代方法是找到实现所需功能的另一种方法。