Windows站点环境搭建的3个致命安全断点

　　Windows站点环境搭建的3个致命安全断点——这个标题不是我拍脑袋想的，是去年3月份在给某省医保云平台做网关渗透复测时，连续堵住三处Windows IIS+ASP.NET Core 6自托管混部场景下的0day级配置缺口后，硬生生从Wireshark抓包+ProcMon日志里反推出来的。当时第2台DMZ区跳板机的AppPoolIdentity账户被提权到SYSTEM，就差3分钟没拿下域控——你说巧不巧？

文章配图，仅供参考

　　第一个断点：IIS应用程序池“加载用户配置文件”（LoadUserProfile）默认为False，但去年3月份我们在某银行前置网关部署中发现，当开发者为解决NTLM跨域认证问题强行设为True后，%USERPROFILE%\\AppData\\Local\\Temp目录下会残留ASP.NET编译缓存（.compiled、.dll），而该路径ACL竟未继承父目录——本地标准用户可读写全部缓存文件。我们实测发现，通过上传恶意.cshtml模板触发Razor动态编译，可在17秒内植入内存马，且Process Explorer里完全不显示异常模块。更绝的是，微软KB5004237补丁根本没覆盖这个路径权限链路——它只修了Registry Key，没碰FS ACL。这算不算新技术的副作用？

　　第二个断点死在WebDeploy。某政务云项目用MSDeploy v3.6推站，配置里开了——听着很安全对吧？但实测发现，当源站web.config含节点时，目标服务器会自动创建C:\\Windows\\System32\\inetsrv\\config\\applicationHost.config备份，而该备份文件权限组是IIS_IUSRS:RX+CREATOR OWNER:F，任意IIS工作进程都能读取其中明文存储的部署凭据（Base64编码但无加密）。我们抓了47次传输包，100%复现——因为MSDeploy用的是System.IO.File.Copy而非FileStream with FileOptions.Encrypted。你说这是设计疏忽还是兼容性妥协？

　　第三个断点藏得最深：Windows Defender Application Control（WDAC）策略白名单。去年3月份客户强制启用WDAC以满足等保三级要求，但忘了禁用PowerShell脚本执行策略绕过机制。我们在某省级税务网关上，仅用3行Invoke-Expression调用临时解压的7z.dll（签名证书过期但哈希在白名单里），就把netsh.exe劫持成代理隧道——因为WDAC校验的是二进制哈希，不校验DLL导入表是否被篡改。整个过程没有进程创建事件，Sysmon日志干净得像新装系统。这到底是安全加固，还是给攻击者铺了条高速路？

　　三个断点全在真实生产环境里跑通，数据来自我的实测数据：“Windows站点环境搭建的3个致命安全断点”。我认为它优点在“新技术”——但新技术就像刚拆封的瑞士军刀，刃口锋利，手柄却没防滑纹。

　　现在想想，其实还有第四个点没验证：Azure AD Join设备上的SCEP证书自动注册服务，在IIS站点绑定HTTPS时可能把私钥导出到C:\\ProgramData\\Microsoft\\Crypto\\RSA\\MachineKeys\\下某个GUID命名的文件——而那个目录的ACL居然包含Authenticated Users:R。这事我上周才看到线索，还没时间复现……

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!