Jaké jsou nebezpečí dávat účtu síťové služby oprávnění ke čtení / zápisu do webové aplikace ASP.NET?

hlasů
5

Jaké jsou nebezpečí dávat účtu síťové služby oprávnění ke čtení / zápisu do webové aplikace ASP.NET? Musím to udělat pro libovolného adresáře, který má aplikace potřebuje zapisovat do líbí App_Data pro svou databázi VistaDB a některých náhodných adresářů uplaod obrazy a dělat změny do textových souborů, atd. Co je to nebezpečí dělá? A to je přijatelné jen grant čtecí / zapisovací přiřazena povolení k celé webové aplikace pro síťové služby?

Položena 17/12/2008 v 19:47
zdroj uživatelem
V jiných jazycích...                            


4 odpovědí

hlasů
6

Největší bezpečnostní riziko dávat oprávnění k zápisu účtu Network Service do složek má zkušenosti s Sdílený hosting nebo při spuštění více webových stránek na stejném serveru.

V podstatě, když se udělit oprávnění změnit poté každý druhý ASP.NET aplikace, která server nakonfigurován na spuštění jako síťové služby (vše ve výchozím nastavení), bude mít také oprávnění k zápisu do této složky, které by mohly být využity.

Odpovězeno 17/12/2008 v 20:04
zdroj uživatelem

hlasů
2

Nebezpečí tohoto postupu je, že síťová služba je sdílený účet a jakákoliv aplikace nebo služba běžící pod tímto účtem bude mít přístup k tomuto adresáři.

V závislosti na verzi služby IIS, který používáte, můžete umístit na webové aplikace v samostatném fondu aplikací a nechte jej běžet pod jiným uživatelským účtem. Potom můžete udělit přístup konkrétně k danému uživateli a nikoli síťové služby. To je k dispozici pouze ve verzi 6 nebo vyšší.

Odpovězeno 17/12/2008 v 20:04
zdroj uživatelem

hlasů
2

dobře bezprostřední nebezpečí je síťová služba může čtení / zápis do těchto složek samozřejmě, ale za microsoft - Tento účet je nejméně privilegované stroj účet s omezenými právy. Pokud jste v doméně lepším přístupem může být použít účet domény - Podrobnější informace o obou lze nalézt na http://msdn.microsoft.com/en-us/library/ms998320.aspx

Odpovězeno 17/12/2008 v 20:07
zdroj uživatelem

hlasů
1

Ok, takže pokud mohu zjistit, jak dostat své aplikace zapisovat do souboru v souborovém systému, protože udělené čtení / zápisu do celého virtuálního adresáře aplikace, nyní mohu psát soubor ASPX vám vaše webové stránky, odvolat jej a spustit libovolný kód, včetně vychytávek jako WMI volání a COM interop.

Máte čas a zdroje, aby přesvědčivě dokázat, nemohu použít svou přihlášku (která obsahuje části, které nepsal, jako je například rámci samotného) zapsat soubor pro vás webové stránky? Proč ne jen vyloučit možnost, když je to tak levné (timewise) nastavit oprávnění NTFS?

Nyní, pokud dáváte právo jen App_Data, i když jsem se napsat soubor ASPX do této složky, nebyl bych schopen ho odvolat, protože složka App_Data je považován za zvláštní tím, běhové prostředí a nebude mít k dispozici žádné soubory odtamtud ( lest, že někdo stačí zavolat http://yourserver.com/app_data/data.mdb a hack db pouhým stažením souboru). Zřejmě to soubor v App_Data může být dosaženo pomocí ADO a podobně, ale to není problém se zabezpečením.

Odpovězeno 20/12/2008 v 20:35
zdroj uživatelem

Cookies help us deliver our services. By using our services, you agree to our use of cookies. Learn more