windows 2008 用户组权限 以及使用iis自带的 虚拟用户 设置,防止跨站
1.windows 2008 r2 用户组关系
使用windows 2008r2 iis7.5 好长时间了,一直没有搞清楚windows 用户组之间的关系
最近通过搜索 整理 如下
打开windows 的 用户组管理器 (服务器管理->配置->本地用户和组->组)
重点介绍以下组
| 组 | 组内成员 | 备注 |
| Administrators | Administrator | 超级管理员 |
| Guests | 匿名账号 一般禁用 | |
| Power Users | 除admin意外权限最高的组 | |
| IIS_IUSRS | 所有iis 虚拟账号都属于这个组 | |
| users | NT AUTHORITY\INTERACTIVE(S-1-5-4) NT Authority\Authenticated User |
特别注意 查看组内成员可以看出 基本所有用户(除Guests以外)都属于 users,所以users分配权限的时候也要比较小心 |
2.在任意文件 右键 ->安全->编辑->添加->高级->立即查找
这里可以看见更多的用户组(这些是内置组)
| * Everyone | 任何一位用户都属于这个组,包括Guests组的成员,所以如果启用 Guests 在分配 Everyone 需要特别小心 | |
| * Authenticated Users | 任何使用有效用户账户来登录此计算机的用户，都属于这个组 和Everyone的区别是 不包括 Guests |
|
| * interactive | 任何在本地登录的用户(远程桌面,终端)，都属于这个组。 | |
| NT AUTHORITY\INTERACTIVE(S-1-5-4) | 应该和interactive类似 | |
| NT Authority\Authenticated User | 应该和Authenticated Users 类似 | |
| anonymous logon | 最低的权限组,用户打开ftp,网上邻居等未登录就是这个状态 | |
| creator group | 创建者所在组 | |
| Creator owner | 创建者(不包括所在组) | |
| * IUSR | IIS 7的匿名身份认证，就是通过此用户进行的. 和 IIS_IUSRS 的区别 iusr 下面可以增加真实的用户(IIS_IUSRS 下面是虚拟账号),(不建议使用,直接使用IIS_IUSRS 虚拟用户更加方便) 1、打开IIS Manager，双击你想要设置的站点。 2、在功能视图中，双击身份验证。 3、选择匿名身份验证，点击编辑。 4、点击特定用户，设置。 5、输入该用户的用户名密码，确定。 http://blog.chinaunix.net/uid-20344928-id-3306130.html |
|
| local service | 本地服务 | |
| network | 任何通过网络来登录此计算机的用户，都属于这个组 | |
| network service | 网络服务 | |
| owner rights | 所有者 | |
| remote interactive logon | 远程交互式登录(远程桌面,控制台) | |
| * system | 这个组拥有和Administrators一样甚至更高的权限 |
需要特别注意 加上 "*" 的组
2.windows 虚拟用户
在windows 2003时代,如果需要给网站单独设置权限,需要每个网站单独创建用户.
windows 2008 iis7.5 新增了虚拟账号,不用每个网站独立创建用户.
1.启用 虚拟账号
在网站->基本设置->连接为->应用程序用户
这时候就启用了虚拟账号.
查看进程管理器:
可以看到 php-cgi.exe w3wp.exe 后面的用户是 "应用程序池名"
这个就是虚拟用户
可自行百度 "applicationpoolidentity" 或者 iis7.5 虚拟账号 查询相关知识
3.设置网站权限(假设服务器主要用于网站访问 服务器程序为iis+php)
根据 用户组关系,当网站以 虚拟账号运行的时候, iis php 所属组 为 IIS_IUSRS
1.c盘 默认 "user" 有只读权限(假设 网站目录不在c盘)
2.c盘以外的盘符 删除 除 system administrators 以外的用户权限,users(保留原来的,理论上说可以删除,最多给users只读权限,不要给users 读写权限).
3. c盘以外的盘符 设置 IIS_IUSRS 组 所有权限 拒绝访问 (拒绝访问权限>允许权限)
4.特别注意 php目录,php上传目录,php Session 目录需要读写权限(如果你没有修改 并且php在c盘的话,这些目录都在windows默认的临时目录 有读写权限的)
5.设置 php.ini open_basedir 限制php 读写目录都在 网站目录下(可以设置多个目录)
6.设置 网站目录 给一下账号 "IIS AppPool\应用程序池名" 读取权限 , 根据网站程序 赋予某些目录 读写权限.
"IIS AppPool\应用程序池名" 这个账号 查找找不到 需要手动输入
7.php 其他安全设置 参考网上的 决定不能有 exec运行权限
4.示例
假设:php安装在c盘,Session 目录,上传目录 没有修改.
网站在: "d:\www"
网站1 d:\www\www.a.com 应用程序池名 www.a.com
网站2 d:\www\www.b.com 应用程序池名 www.b.com
1. d:盘 IIS_IUSRS 没有读写权限
2.php.ini open_basedir= d:\www\
3.d:\www\www.a.com 授权账号 "IIS AppPool\www.a.com" 读取权限
4.d:\www\www.b.com 授权账号 "IIS AppPool\www.b.com" 读取权限
(1)www.a.com 的iis php以权限 "IIS AppPool\www.a.com" 运行 ,只能读取 d:\www\www.a.com 的数据,
(2)另外 "IIS AppPool\www.a.com" 账号属于 Authenticated Users "users" 用户c盘 一些目录的读取权限
因为iis需要读取c盘配置文件,还有其他一些原因(比如php运行),所以 "IIS AppPool\www.a.com" 必须拥有读取权限(c盘默认的不要修改,如果你真的禁止读取,iis会出错的).
(3)但是我们还在php中限制了 文件读写目录为 .d:\www\ 所以 www.a.com 的php程序是只能读取 d:\www\www.a.com 目录数据的
不能访问 d:\www\www.b.com 以及其他非网站目录(防止跨站)
基本权限说明:
php.ini 设置 限制访问在 d:\www\
IIS_IUSRS 拒绝访问 "d:\"
"IIS AppPool\www.a.com" 允许访问 d:\www\www.a.com
这样网站就只能访问当前网站目录.设置相对简单.
4.参考说明
https://www.cnblogs.com/yjmyzz/archive/2009/10/26/1590033.html iis虚拟账号
https://blog.csdn.net/kexiuyi/article/details/51704688 windows2008 用户组
其他 百度搜索的以及个人经验