授予 ApplicationPoolIdentity 对 Web 应用程序文件夹内的文件夹的写访问权限是否（不）安全？答案

【问题标题】：Is it (in)secure to give the ApplicationPoolIdentity write access to a folder inside your web application folder?授予 ApplicationPoolIdentity 对 Web 应用程序文件夹内的文件夹的写访问权限是否（不）安全？
【发布时间】：2016-10-07 01:59:21
【问题描述】：

最近我们实现了一项功能，可以在我们的 App_Themes 文件夹中动态生成 LESS 文件。这是在应用程序启动时完成的。

这需要我们授予@ApplicationPoolIdentity@ App_Themes 文件夹的写入权限。

但是，我们的系统管理员不希望我们向 @ApplicationPoolIdentity@ 授予写入权限。出于安全原因。

这样做不安全吗？有哪些安全风险？

【问题讨论】：

标签： security iis applicationpoolidentity

【解决方案1】：

如果您的应用程序或 ASP.NET 或 IIS 本身存在任何远程代码执行漏洞，任何通过您的应用程序或 Web 服务器危害您的系统的人都可能会获得一个命令 shell，并以例如DefaultAppPool 在您的服务器上。

如果一个文件夹有写权限，那么攻击者可以自己写这个文件夹。

例如，他们可以在您的网站example.com/App_Themes/index.html 上托管他们自己的内容，或者他们可以上传允许将权限升级到管理员的漏洞利用。在后一种情况下，他们可能也需要可执行权限，除非他们可以通过某种方式让网络服务器执行它，例如通过请求已删除漏洞的 URL。

当然，要发生这种情况，首先必须存在漏洞。阻止写访问也可以被视为“纵深防御”，但是如果您的应用程序需要这样做，那么它可能是可以接受的风险。另一种方法是找到另一种方法来实现您想要的功能。

【讨论】：

感谢您的回复。最后，我们找到了一种不同的方式来实现我们所需要的。只是花了一段时间才让它工作，我不确定是否值得这样做。