什么是 IUSR 权限？
-
定义: IUSR（Internet User）是一个内置账户，全称通常显示为“IUSR_<机器名>”（早期版本）或简单的“IUSR”（现代版本）。它在安装 IIS 时创建，用于表示匿名访问 IIS Web 站点的用户。
-
作用: IUSR 账户允许未经身份验证的客户端（如浏览器用户）访问 IIS 托管的 Web 内容，而无需提供用户名和密码。
-
SID: 其安全标识符（SID）为 S-1-5-32-545（早期版本可能不同）。
IUSR 权限的具体能力
IUSR 的权限专注于匿名 Web 访问，默认包括：
-
文件和文件夹管理:
-
默认权限:
-
对 IIS Web 站点根目录（如 C:\inetpub\wwwroot）有读取和执行权限。
-
允许访问静态文件（如 HTML、CSS、图片）。
-
-
限制:
-
默认无写入或修改权限，除非手动配置。
-
无法访问系统文件夹（如 C:\Windows）或用户私有文件夹。
-
-
-
网络访问:
- 处理匿名 HTTP/HTTPS 请求，权限限于 IIS 配置的站点内容。
-
系统配置:
- 无权修改系统设置或注册表。
-
应用程序运行:
- 不直接运行应用程序，权限仅用于匿名访问时的资源读取。
与 IIS_IUSRS、Administrators 和其他组的关系
-
与 IIS_IUSRS 的对比:
-
IIS_IUSRS: 表示应用程序池身份，运行 Web 应用程序进程。
-
IUSR: 用于匿名访问，处理客户端请求的初始访问。
-
示例：用户访问网站时，IUSR 读取静态文件，而 IIS_IUSRS 运行服务器端代码。
-
-
与 Administrators 的对比:
-
Administrators: 拥有完全控制权。
-
IUSR: 权限极低，仅限于匿名访问需求。
-
-
与 Users 的对比:
-
Users: 标准用户有更多个人权限。
-
IUSR: 权限更低，专注于 Web 内容访问。
-
-
与 TrustedInstaller 的关系:
- IUSR 无权修改受 TrustedInstaller 保护的系统文件。
IUSR 权限的特点
-
默认账户: 安装 IIS 时自动创建，默认无密码。
-
匿名身份: 表示未登录的 Web 用户，权限由 IIS 配置控制。
-
安全性: 通过低权限设计，限制匿名访问对系统的潜在影响。
如何管理 IUSR 权限？
-
查看账户:
- 打开“计算机管理”（compmgmt.msc）→ 本地用户和组 → 用户 → 找到 IUSR。
-
检查权限:
- 右键 Web 站点文件夹（如 C:\inetpub\wwwroot）→ 属性 → 安全选项卡 → 查看 IUSR 的权限。
-
调整权限:
-
为站点文件夹添加权限：
-
右键文件夹 → 属性 → 安全 → 编辑 → 添加 IUSR → 设置读取权限。
-
命令行：icacls "C:\inetpub\wwwroot" /grant "IUSR:(RX)"（授予读取和执行权限）。
-
-
-
配置 IIS:
- IIS 管理器（inetmgr）→ 站点 → 身份验证 → 匿名身份验证 → 编辑 → 确认使用 IUSR。
实际应用场景
-
静态网站: 用户访问 HTML 页面，IUSR 读取 wwwroot 中的文件。
-
公共资源: 开放图片或下载链接，IUSR 提供匿名访问。
-
最小权限: 在不需要用户登录的站点中，IUSR 确保基本内容可访问。
注意事项
-
权限最小化: 只授予 IUSR 必要权限（如读取），避免写入权限导致安全风险。
-
与 IIS_IUSRS 配合: 动态内容需结合 IIS_IUSRS 的应用程序池权限。
-
匿名访问控制: 可在 IIS 中禁用匿名访问，强制用户登录。
总结
IUSR 权限是为 IIS 的匿名访问设计的低权限账户，允许未经身份验证的用户读取 Web 内容（如 wwwroot 中的文件）。它比 IIS_IUSRS（应用程序池身份）更专注于客户端访问，远低于 Administrators 和 TrustedInstaller 的权限。默认配置为读取权限，适用于公开 Web 资源，通过 IIS 和文件权限管理其范围。