Windows站点搭建总踩坑？5步权限配置法一次到位

　　昨天下午三点，冰柜压缩机一直在响，像有只耗子在里头啃铜管——我蹲那儿换完第三块滤网，外卖催单那个提示音又来了，叮咚，叮咚，叮咚，跟催命似的。我直起身，手背上被烫的那个泡蹭到不锈钢柜沿，一抽气，顺手抄起抹布擦台面，湿的，拧不出水，但擦了三遍：先斜着推，再竖着带，最后倒过来用干边抿一道缝。隔壁修电动车的老张端着搪瓷缸子过来借火，我划了根火柴给他，火苗蹿得太高，燎了我两根眉毛。

　　他说：“你那网站又崩了？”

　　我说没崩，是压根儿没起来。去年春晚那会儿，客户赶在零点前上线一个抽奖页，我搭完IIS，配完AppPool，跑了个Hello World就撤了。结果凌晨一点十七分，他们运营打电话说页面打不开，日志里全是“拒绝访问”。我趿拉着拖鞋回公司，路上买了个烤红薯，边剥皮边想：这不就是权限？NTFS加IIS用户组，闭着眼都能配齐。结果到了机房，光找那个匿名用户SID就花了四十三分钟——不是不会查，是客户自己建了个叫“web_user_2023”的账户，密码设成了“HappyNewYear2023!”，然后把这账户从IIS_USERS组里踢了出去，又手动加进了“Guests”……还勾了“拒绝登录本地”。我原以为顶多调调ACL，结果人家直接把门锁焊死了，钥匙扔进下水道。

　　门口那只猫又来了，蹲在台阶上舔爪子，尾巴尖一翘一翘。它上周叼走过我半根肠粉，今天盯着我手上那块烤红薯，眼珠子不动。我不给，它也不走，就那么坐着，像来审计的。

　　后来我们复盘，客户那个运维，三十出头，戴副银丝眼镜，说话前总爱先清嗓子，咳一下，再笑一声，像预装了配音。他坐在那儿说：“我们原来那个老系统，全用Administrator跑的，从来没出过问题。”我点头，心里数着他西装领口第三颗纽扣歪了，领带夹是钛合金的，印着个“L”，估计是老婆姓李。他接着说：“你们是不是搞太复杂了？权限分那么细，人记不住啊。”我没接话，拿抹布又擦了一遍台面，这次是横着擦，七下，不多不少。我说：“要不咱试试五步法？”

文章配图，仅供参考

　　他挑眉：“五步？比红烧肉还讲究？”

　　我掰手指：第一步，删掉所有带“Admin”字样的服务账户；第二步，让ApplicationPoolIdentity当爹，只让它读wwwroot和log目录，别的地方——关、门、上、锁；第三步，静态资源全扔进iis_iusrs默认组，但得手动取消“修改”权限，只留“读取与执行”；第四步，上传目录单独建个upload子文件夹，开IIS_WPG组写入，但加个web.config拦截脚本执行——这个他不信，我当场新建了个.asp文件往里扔，404，他“哦”了一声，喉结动了两下；第五步，改完立刻跑一句icacls D:\\inetpub\\wwwroot /T /C /Q，再导个结果文本，发给他邮箱，标题就写“今日权限快照”，底下小字备注：“别转发，含路径”。

　　他回去试了，第二天中午带着两个包子来，猪肉白菜馅的，油汪汪。我咬一口，咸了，他笑：“我妈包的，她说你们搞技术的不吃盐，脑子转不快。”我嚼着没应声。其实他根本没全照做——第三步漏了，上传目录没拦住.dll上传，结果第三天凌晨，服务器内存飙到97%，任务管理器里蹦出三个svchost.exe进程，每个都占1.2G，名字还带中文乱码。我连过去一看，是黑客上传的ASP木马，正扫内网。我删掉，重启池，重置权限，顺手把他邮箱里那份“快照”文件删了。他后来看邮件时问我：“快照呢？”我说：“格式化了。”他愣了三秒，突然笑出声，笑得特别响，引得对面文具店老板娘探头看，我摆摆手，她缩回去了。

　　这不是技术问题。这是筛选。Windows站点搭建总踩坑？五步权限配置法一次到位——它站得住的地方，是优胜劣汰。活下来的，不是配置最熟的，是能忍住不去点“以管理员身份运行”的；不是文档背得最全的，是敢把“Everyone”权限砍掉之后，还不慌着改回去的；不是半夜修得最快的，是修完立刻把操作日志打印出来，夹进纸质巡检表、贴在主机箱盖上的。我们楼下那个奶茶店老板，每天收摊前必干两件事：擦冰柜玻璃，和把POS机小票塞进铁皮罐里——他罐子上写着“2024赔钱记录”，里头有十七张，都是客人投诉奶盖结块那天的单子。他不扔，也不改，就存着。等哪天新员工上手，他掏出罐子晃一晃，哗啦响，再抽一张，指着单号说：“喏，这个ID，后台返券规则写错了，改三次才对。”

　　我原以为五步法是教人怎么设权限，后来发现，它是教人怎么在老板喊“赶紧上线”、运营堵在工位上敲键盘、监控告警弹窗叠成山的时候，还能把鼠标挪到那个“Apply”按钮上，停三秒，吸一口气，再点下去。上个月有个新人，刚来三天，客户急着上线测试环境，他直接右键“属性”→“安全”→“添加”→“高级”→“立即查找”，然后搜出“Administrators”，打钩，“确定”，完事。我路过看了一眼，没说话。当天晚上九点，他工位灯还亮着，笔记本放着《渗透测试入门》，音量开最大，里头老师正在讲“提权后如何横向移动”。我端着纸杯咖啡过去，问他：“吃晚饭没？”他说吃了桶泡面。我指指他屏幕右下角时间：21:03。他点点头，没抬头。我转身走了，经过茶水间时顺手把饮水机加热键按灭了——那灯红得晃眼，像一直没熄过的告警。

　　今天早上，常来的王会计又来了，穿蓝布衫，拎个旧帆布包，里头永远装着同一支红蓝双色圆珠笔和半块橡皮。他坐定就问：“上月账做了没？”我说做了，他说：“那‘网络维护’那项，为啥比前两个月多了八百？”我摸出收据本，翻了三页，找到那张，递过去。他拿红笔圈出金额，蓝笔在旁边写：“防火墙策略优化”，底下补了句：“建议后续统一用白名单模式”。我盯着那行字看了半天，伸手把收据本合上，扣在台面上，发出“啪”的一声。冰柜又响了，这次是启动的嗡鸣。外卖提示音又来，叮咚。我站起来，走到门口，看见那只猫还在，尾巴尖还是翘着。我摸裤兜，掏出半块烤红薯，掰下一小角，轻轻一抛。它没动。我再抛，大一点。它偏头，耳朵抖了一下，还是没动。我忽然想起去年除夕夜，那个客户凌晨两点给我发微信：“兄弟，实在不好意思，刚收到监管通知，我们这活动得下线……”后面跟着个红包，88.88元。我收了，转头就把它转给了值班的客服小妹，她正守着直播间喊“家人们福袋还有最后三分钟”。我没看红包，也没看福袋，就盯着IIS日志刷新框，绿色的字符一行行往上滚，像一条永远不会干涸的河。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!