Haruskah saya meniru PHP melalui FastCGI?

Saya menginstal versi terbaru PHP ke IIS 7.5 melalui FastCGI, dan semua instruksi mengatakan bahwa FastCGI harus menyamar sebagai klien panggilan dengan mengatur

 fastcgi.impersonate = 1

Jika situs web saya akan memiliki konfigurasi ini

• kumpulan aplikasi khusus
• identitas kumpulan aplikasi ApplicationPoolIdentity
• hanya otentikasi anonim (seperti IUSR)

mengapa saya ingin berkedok?

Saya berasal dari latar belakang ASP.NET, di mana IUSR mendapatkan izin hanya baca dan identitas kumpulan aplikasi mendapatkan izin menulis apa pun. Memberikan akses tulis ke IUSR biasanya membuka pintu untuk kerentanan WebDAV. Jadi saya ragu untuk membiarkan PHP berjalan sebagai IUSR.

Saya tidak dapat menemukan banyak orang yang menanyakan pertanyaan ini ( 1 | 2 ) jadi saya pikir saya pasti kehilangan sesuatu. Bisakah seseorang mengklarifikasi ini untuk saya?

13 bulan kemudian, saya ingin meninjau kembali pertanyaan saya sendiri. Pada waktu itu saya telah mentransfer setengah lusin situs web dari IIS 6 ke IIS 7.5 dan mengkonfigurasinya dengan metode pilihan saya. Yang bisa saya katakan adalah bahwa situs web berfungsi, mereka tidak memiliki masalah keamanan (bukan bahwa ini adalah situs populer), dan menurut pendapat saya pengaturannya lebih aman daripada yang direkomendasikan learn.iis.net.

Untuk anak cucu, berikut adalah pengaturan yang relevan. Dalam PHP INI:

cgi.force_redirect = 0
cgi.fix_pathinfo=1
fastcgi.impersonate = 0

Dalam IIS:

• Application Pool> Identity> ApplicationPoolIdentity
• Situs web> Otentikasi> Otentikasi Anonim> Pengguna Tertentu: IUSR

Izin NTFS dan tempat untuk menerapkannya:

• IUSR - Grant Read, Deny Write
  • Direktori root situs web IIS. Misalnya, dalam proyek Zend Framework ini akan menjadi direktori / publik.
  • Jika aplikasi Anda mengunggah file dan menyimpannya di direktori publik, Anda perlu menerapkan izin ini ke direktori unggahan sementara. Ini karena move_uploaded_fileakan mempertahankan izin direktori unggahan. Ini adalah kelemahan terbesar dari pengaturan izin yang saya temukan.
• ApplicationPoolIdentity ( IIS AppPool\<<YourApplicationPoolName>>) - Grant Read & List
  • Akar aplikasi PHP Anda. Misalnya, dalam proyek Zend Framework ini akan menjadi keseluruhan proyek.
  • Pustaka eksternal apa pun (Zend, Doktrin, dll.) Yang disertakan oleh aplikasi Anda yang tidak ada dalam folder aplikasi.
• ApplicationPoolIdentity - Grant Modify
  • Setiap lokasi di mana aplikasi Anda akan menulis seperti upload_tmp_dir, session.save_path, dan error_log.
  • Kadang-kadang saya perlu menambahkan izin ini ke root aplikasi PHP di lingkungan pengembangan saya untuk mendukung hal-hal seperti proksi generasi-otomatis Doctrine .
• ApplicationPoolIdentity - Daftar Hibah
  • Jika aplikasi Anda ada di direktori virtual, Anda harus menambahkan izin ini ke root situs web. Ini memungkinkan aplikasi Anda membaca web.config induknya. Misalnya, jika root aplikasi Anda adalah http://example.com/MyPHPApp , tetapkan izin ini di direktori web example.com. Khususnya Anda hanya perlu menerapkan ke "Folder dan file ini", "hanya di dalam wadah ini".

Saya harap ini membantu orang lain yang memutuskan bahwa petunjuk learn.iis.net tidak ideal.

Lihat: http://www.php.net/manual/en/install.windows.iis6.php

Peniruan dan akses sistem file

Disarankan untuk mengaktifkan peniruan FastCGI di PHP saat menggunakan IIS. Ini dikendalikan oleh direktif fastcgi.impersonate dalam file php.ini. Ketika peniruan diaktifkan, PHP akan melakukan semua operasi sistem file atas nama akun pengguna yang telah ditentukan oleh otentikasi IIS.

Per dokumentasi, itu hanya memungkinkan fastcgi untuk bertindak atas nama klien menggunakan semua izin yang sama (dalam kasus Anda seperti apa yang tampak seperti akun IUSR). Dengan kata lain, untuk melakukan semua tindakan yang biasanya diizinkan untuk kredensial klien (atau anon) sendiri. Tidak lebih, tidak kurang. Tanpa set ini, saya membayangkan fastcgi yang buruk akan dibiarkan lumpuh.