security - 将 "Network Service"帐户添加到管理员组

Question

我的网络应用程序在 Windows Server 2003 下的 IIS 6.0 中运行，我们都知道在这种情况下，IIS 使用用户帐户“网络服务”。

我碰巧必须允许某些用户在我的网页上执行某些操作，并且该操作需要管理员权限。

对我来说最懒的解决方案似乎是将“网络服务”添加到管理员组，而且它确实有效。

我的问题是，这个解决方案有多危险，它会以什么方式危害我的网络服务器的安全？

Answer 1

这通常是“一个坏主意”。如果这是一个面向公众的服务器，那么这是一个非常糟糕的主意。

您应该做的就是将您需要在另一个进程(例如具有提升权限的 Windows 服务)中执行的特定管理任务沙箱化，这就是我们解决此类问题的方法。

然后，我们在 Windows 服务中托管一个远程服务器，并通过命名管道或 TCP/IP 与该服务进行通信(如果是机器对机器，并且是通过后端专用网络)。

有关更多信息，请参阅我为其他用户留下的有关类似问题的答案:

Windows User Account that executes only IIS7 Provisions

更好的方法是永远不要在 Web 应用程序和 Windows 服务之间进行直接通信，而是通过作业或消息队列等中介进行通信。您的低特权应用程序发出执行管理任务的请求，您的高特权服务从队列中读取这些任务并执行它们。

在这两种情况下，您都应该确保不会超出每项任务的职责范围。即，确保如果任务是在服务器上创建新的 Windows 帐户，则不允许该新帐户获得超出其需要的权限。