五步保护企业Windows环境下的Web服务大中型企业有相当大部分都在使用Windows Server以及。Net架构来构建企业Web服务和应用，因此Web服务和Web应用程序通常被ASP.NET和IIS主管。 2、以最小特权运行 处理单个ASP.NET请求的“工作进程”运行在账户为ASPNET的Windows环境中。这个特殊的账户有一个受限的Windows 特权集，为了控制这种损害，应该让给ASP.NET应用程序。但是，对于工作进程来说，在与IIS相同的账户--SYSTEM账户下执行是可能的。如果你想要这种情况发生，你编写的machine.config文件应该像这样： <configuration> <processModel userName=“System” password=“AutoGenerate”/> </configuration> 为了让这样的更改生效，必须重启IIS管理服务和WWW发布服务。 这样做的一个原因可能是：为了获得Windows用户用于假冒目的的访问令牌，允许你的ASP.NET代码从Win32 API中调用LogonUser.但是，这违反了最低权限（least privilege）的基本安全原则，以及显着增加了成功攻击所引起的损害。因此在那样做之前你应该仔细斟酌。 3、身份认证 ASP.NET提供了四中典型的身份认证：None，Windows，Forms以及Passport.每一种认证都是在应用程序的根文件web.config中配置的。例如，为了完全禁用ASP.NET身份认证--适合于不需要用户登录的公共网站，那么你需要这样的一个配置文件： <configuration> <system.web> <authentication mode=“None”/> </system.web> </configuration> 你应该牢记IIS身份认证和ASP.NET身份认证之间的相互作用。两者都将需要被正确地配置，以达到预期的效果。通常情况下，你会在IIS和ASP.NET两者之中中使用Windows身份认证模式；或者在IIS中以及在ASP.NET中的None，Forms，Passport的某一种使用匿名模式。 在IIS和ASP.NET两者中使用Windows身份认证的优点是：密码不用通过网络发送，而是客户端应用程序向IIS提供了当前登录用户身份的相关信息，那使得这些信息转发到你的ASP.NET应用程序上。这种方法的缺点是：它依赖于客户端和服务器端的Windows操作系统。Forms式的身份认证对于基于互联网的系统是一种更合适的方法，但是在这种情况下，使用SSL/TLS来确保用户提供的凭证是加密的，这非常有必要。 责编：李玉琴  微信扫一扫实时了解行业动态 著作权声明：畅享网文章著作权分属畅享网、网友和合作伙伴，部分非原创文章作者信息可能有所缺失，如需补充或修改请与我们联系，工作人员会在1个工作日内配合处理。 |
最新专题 |
|
|
资深技术经理：无线网络设备导致信..
网上邻居九招特殊的应用.doc