Recomendações de segurança do IIS quando utiliza uma partilha UNC e nome de utilizador e palavra-passe credenciais

Existem instâncias quando pode utilizar o Internet Information Server (IIS) como um portal para outro dispositivo na rede que contém o armazenamento disponível. Isto pode ser feito no snap-in IIS Microsoft Management Console (MMC), seleccionando a opção um compartilhamento localizado em outro computador no separador Web Site ou Directório Virtual .

O IIS pode detectar quando o caminho é local ou remoto mesmo quando os mapeamentos de rede tornar a unidade apresentada local. Por conseguinte, para ter acesso ser concedido, IIS tem de obter credenciais com permissões de partilha remota. Estas credenciais (o ID de utilizador e palavra-passe) são encriptadas e armazenadas na metabase do IIS, mas estão disponíveis através de uma API Application Programming Interface (). Se não forem seguidas práticas de segurança normal, este potencialmente pode constituir um risco para proteger a operação do servidor.

Os administradores do servidor nunca devem permitir a execução no servidor de código não fidedigno. Os danos potenciais que podem resultar de permitir que um utilizador não fidedigno executar código no servidor até ao momento ultrapassa este incidente específico.

A Microsoft recomenda que os clientes Consulte seguintes artigos da base de dados de conhecimento para obter informações sobre como definir as permissões adequadas para utilizadores da Web: Mesmo quando são definidas as permissões adequadas, a Microsoft recomenda que, keeping com recomendações de segurança normal, a conta de utilizador é utilizada para aceder à partilha deve tenha os privilégios menor número possíveis. Especificamente, a Microsoft recomenda que a conta tenha as mesmas permissões que a conta IUSR_Machinename (leitura e execução). A seguir esta recomendação, garante que, mesmo se um utilizador mal intencionado conseguir executar código no servidor e obter as credenciais utilizadas para aceder a partilhas UNC, não é possível obtenha privilégios adicionais ao fazê-lo.

Para qualquer Web site ou directório virtual com uma partilha, a Microsoft recomenda que cuidadosamente planear permissões e não utilizar todas as contas com permissões de nível administrativo.

Se forem seguidas directrizes de segurança boa, em seguida, isto deverá não constituir um risco de segurança. No entanto, existe uma possibilidade de que estas informações podem ser extraídas da metabase se as permissões de segurança incorrecto são colocadas no servidor de IIS.

As informações contidas neste artigo foi testadas com o ASP (Active Server Pages) e o método GetObject do fornecedor de IIS. Foi detectada uma vulnerabilidade de com o método código correcto; no entanto, a causa do problema é permissões de segurança incorrecto.

REFERÊNCIAS

Para obter informações adicionais, clique no número de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft: