ASP.NET冒充NT AUTHORITY\IUSR，但身份模拟被禁用。这是ASP.NET的bug吗？

Question

ASP.NET冒充NT AUTHORITY\IUSR，但身份模拟被禁用。这是ASP.NET的bug吗？

14

我有一个运行在Windows 7/IIS 7.5上的ASP.NET 4.0应用程序，使用的是“ASP.NET v4.0 Classic”应用程序池，并配置为以Network Service身份运行。应用程序具有一个Application_EndRequest处理程序，它连接到本地的SQL服务器实例。SQL连接字符串指定Integrated Security=SSPI。Web.config文件没有<identity impersonate="true" />。

当我浏览到http://localhost/TestSite/时，会抛出以下异常：

System.Data.SqlClient.SqlException (0x80131904): Login failed for user 'NT AUTHORITY\IUSR'.
   ...
   at System.Data.SqlClient.SqlConnection.Open()
   at Global.Application_EndRequest(Object sender, EventArgs e)

当我浏览http://localhost/TestSite/default.aspx(IIS中配置的默认文档)或任何其他.aspx页面时，不会抛出此异常；在这些情况下，应用程序正确地连接到 SQL Server 作为 "NT AUTHORITY\NETWORK SERVICE"，这是一个有效的登录名。

为什么ASP.NET在EndRequest时模拟"NT AUTHORITY\IUSR"，即使禁用了模拟? 这是ASP.NET的一个错误吗？

以下是演示该问题的Global.asax.cs文件：

public class Global : HttpApplication
{
    public Global()
    {
        this.BeginRequest += delegate { Log("BeginRequest"); };
        this.PreRequestHandlerExecute += delegate { Log("PreRequestHandlerExecute"); };
        this.PostRequestHandlerExecute += delegate { Log("PostRequestHandlerExecute"); };
        this.EndRequest += delegate { Log("EndRequest"); };
    }

    protected void Application_EndRequest(Object sender, EventArgs e)
    {
        try
        {
            using (SqlConnection connection = new SqlConnection("Server=.;Integrated Security=SSPI"))
            {
                connection.Open();
            }
        }
        catch (Exception ex)
        {
            Trace.WriteLine(ex);
        }
    }

    private static void Log(string eventName)
    {
        HttpContext context = HttpContext.Current;
        Type impersonationContextType = typeof(HttpContext).Assembly.GetType("System.Web.ImpersonationContext", true);
        Trace.WriteLine(string.Format("ThreadId={0} {1} {2} Impersonating={3}",
            Thread.CurrentThread.ManagedThreadId,
            context.Request.Url,
            eventName,
            impersonationContextType.InvokeMember("CurrentThreadTokenExists", BindingFlags.NonPublic | BindingFlags.Static | BindingFlags.GetProperty, null, context, null)));
    }
}

下面是追踪输出：

ThreadId=3 http://localhost/TestSite/ BeginRequest Impersonating=False
ThreadId=3 http://localhost/TestSite/ PreRequestHandlerExecute Impersonating=False
ThreadId=7 http://localhost/TestSite/default.aspx BeginRequest Impersonating=False
ThreadId=7 http://localhost/TestSite/default.aspx PreRequestHandlerExecute Impersonating=False
ThreadId=7 http://localhost/TestSite/default.aspx PostRequestHandlerExecute Impersonating=False
ThreadId=7 http://localhost/TestSite/default.aspx EndRequest Impersonating=False
ThreadId=7 http://localhost/TestSite/ PostRequestHandlerExecute Impersonating=True
ThreadId=7 http://localhost/TestSite/ EndRequest Impersonating=True
System.Data.SqlClient.SqlException (0x80131904): Login failed for user 'NT AUTHORITY\IUSR'.
   ...
   at System.Data.SqlClient.SqlConnection.Open()
   at Global.Application_EndRequest(Object sender, EventArgs e)

请注意，对 TestSite/ 的请求（映射到 DefaultHttpHandler）似乎会引发一个嵌套的请求到 TestSite/default.aspx（映射到 ASP.default_aspx）。在 ASP.NET 完成处理 TestSite/default.aspx 后，它会模拟 "NT AUTHORITY\IUSR" 在继续处理对 TestSite/ 的请求时。 更新: 我已将此问题提交到Microsoft Connect。

- Michael Liu

尝试访问http://msdn.microsoft.com/en-us/library/ms998320.aspx。 - Arcturus

哪一部分？我已经在IIS和SQL Server中设置了网络服务。 - Michael Liu

2个回答

1

即便应用程序可能没有使用模拟身份，为什么会尝试以“NT AUTHORITY\IUSR”身份登录？

如果您这样做

<identity impersonate="true"/>

它将模拟已登录的用户

如果您这样做

<identity impersonate="true" userName="contoso\Jane" password="pass"/>

它将模拟上面设置的用户。

但是，如果您根本不模拟并使用Windows身份验证，则使用默认系统帐户是有意义的。

我不知道为什么它首先尝试使用IUSR，然后在后续请求中自动切换到NETWORK SERVICE。但我知道，当您从一个服务器跳转到另一个服务器时，应用程序池凭据不会被使用。除非您像下面所示设置了模拟用户，否则NETWORK SERVICE是用于获取服务器外资源的默认帐户。

    <connectionStrings>
        <add name="myConnectionString" connectionString="Data Source=MyServerName;Initial Catalog=MyDataBaseName;Integrated Security=True;"
          providerName="System.Data.SqlClient" />
      </connectionStrings>

<identity impersonate="true" userName="contoso\Jane" password="pass"/>

- Arcturus

我的开发机上同时运行着IIS和SQL Server。 - Michael Liu

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Matthew Schaad · Accepted Answer

你的服务器、站点或应用程序的设置很可能是这样的，即“匿名身份验证”模式导致页面请求以IUSR用户处理。无论你的应用程序是否请求模拟，IIS都会强制执行此操作。（顺便说一下，“模拟”是Windows领域中用于假定另一个用户凭据的通用术语，而不仅仅是ASP.NET特有的术语。）

一些背景知识：

出于安全原因，IIS允许您的服务器在不同的系统凭据下处理“匿名”和“已认证的”请求。

现在，在IIS 7.5中，如果您同时启用了匿名身份验证和表单身份验证（这是典型的情况），那么在您的网站用户通过表单登录之前，它将考虑您的用户为“匿名”。在您的用户使用表单身份验证登录后，它将认为您的用户已经“通过身份验证”。

一开始我觉得这个行为很困惑，因为这是从 IIS 6.0 转变过来的，IIS 6.0 不知道表单身份验证，并且认为所有经过身份验证的表单用户都是匿名的！

如果你愿意，你可以改变处理匿名请求的身份。我的个人偏好（听起来你也是这样）是它们在与我的站点应用程序池相同的系统凭据下运行。为此，请按照以下步骤操作：

打开IIS管理器（inetmgr）
在“连接”面板中，展开到您的站点节点并选择它
在右侧面板中，在“IIS”组下，双击“身份验证”图标。
右键单击“匿名身份验证”，并从上下文菜单中选择“编辑...”。
在弹出的对话框中，选择“应用程序池标识”单选按钮。
单击确定。

一开始我也被步骤5弄得糊里糊涂的，因为我认为“应用程序池标识”指的是“应用程序池伪帐户”（这是IIS 7.5中的另一个新功能）。当然，它真正的意思是“与应用程序池配置为运行在相同帐户下，无论是什么帐户”。

如果您想要所有网站或特定站点下单个应用程序的默认行为，请在这些级别上配置身份验证选项。只需在连接窗格中选择要配置的节点，然后重复步骤3-6即可。