安全经典的ASP主机-类似于ASP.NET中的信任

Question

在圣诞节期间，我们遇到了一个主要的服务器妥协，当时一个压缩的FTP帐户被用来上传一个.net后门，使它能够访问整个asp.net机器帐户，并包含了数十家电子商务商店。

我们取消了合同，清理了烂摊子，但我想制止这一切。在我的研究中，似乎将.net应用程序限制在中等(不是完全信任)将确保应用程序保持自己的自我，不能在正常情况下进行交互。

但是，由于我们的应用程序是典型的ASP和.NET，除非我也能保护ASP，否则保护.net几乎没有用。

有谁知道我可能需要实现什么样的附加安全性才能以类似的方式保护ASP？

Answer 1

很抱歉听到你的闯入。

AFAIK您可能需要查看应用程序池。我不是这方面的专家，但据我所知，您可以将ASP进程(w3wp.exe)设置为在指定的用户(而不是常规系统或IUSR帐户)下的应用程序池中运行。然后在Windows中，您可以很大程度地锁定该用户。例如，您只会为他们提供访问wwroot/{yourwebsitename}文件夹的权限，可能只是读取对该文件夹的访问--除非您进行了一些文件系统对象的写入(因为缓存或其他原因)。

通过将您的每个网站设置为不同的应用程序池(具有适当不同的用户)，一个网站的漏洞不应影响www.root中的其他站点。

就像我说的，你必须自己多读一些书，但这是你的研究的起点。

还要确保通过IIS中的ASP设置，禁用远程调试和向客户端发送错误等内容。一本关于IIS安全的一般教程/书籍可能比ASP特有的资源更好。您考虑过将服务器升级到IIS7吗？我确信有很多漏洞、bug修复等等--通常建议保持最新(尽管这是依赖于操作系统的，所以您可能会被束缚在那里)。