‫ تقویت امنیت ذخیره‌سازی فایل در برنامه‌های وب دات‌نت با استفاده از اصل "کمترین امتیاز" در IIS

• امتیازات بسیار کمی دارند.
• به طور پیش‌فرض، حتی در گروه کاربران استاندارد (Users) ویندوز هم نیستند.
• فقط با نام خود Application Pool قابل ارجاع هستند (مثلاً: IIS AppPool\MyAppPool).

# Set the application pool to use the default identity (not LocalSystem!)
Set-ItemProperty "IIS:\AppPools\MyAppPool" -Name processModel.identityType -Value ApplicationPoolIdentity

• دستور:Set-ItemProperty برای تغییر تنظیمات در IIS استفاده می‌شود.
• مسیر:"IIS:\AppPools\MyAppPool" Application Pool مورد نظر را مشخص می‌کند (در اینجا MyAppPool).
• تنظیم:processModel.identityType هویت فرآیند Worker را تعیین می‌کند.
• مقدار:ApplicationPoolIdentity هویت منحصر به فرد و کم‌امتیاز را برای اجرای فرآیند برنامه وب تنظیم می‌کند.

# Grant minimal permissions to the upload directory
$uploadPath = "D:\Uploads"
$appPoolIdentity = "IIS AppPool\MyAppPool"

# Remove inherited permissions
$acl = Get-Acl $uploadPath
$acl.SetAccessRuleProtection($true, $false)

# Grant only Write permission (add Read if you need to serve files back)
$writePermission = New-Object System.Security.AccessControl.FileSystemAccessRule(
    $appPoolIdentity,
    "Write",
    "ContainerInherit,ObjectInherit",
    "None",
    "Allow"
)
$acl.AddAccessRule($writePermission)
Set-Acl $uploadPath $acl

• تعریف متغیرها: مسیر آپلود فایل ($uploadPath) و نام کامل هویت Application Pool ($appPoolIdentity) ذخیره می‌شوند. نام هویت همیشه به صورت IIS AppPool\نام_AppPool است.
• دریافت ACL فعلی:$acl = Get-Acl $uploadPath لیست کنترل دسترسی (Access Control List - ACL) فعلی پوشه آپلود را دریافت می‌کند.
• قطع وراثت مجوزها (بسیار حیاتی):

$acl.SetAccessRuleProtection($true, $false)

• $true: مجوزهای این پوشه را از والد (مثلاً درایو D:) جدا می‌کند.
• $false: به جای کپی کردن مجوزهای والد، آن‌ها را حذف می‌کند.
• تأثیر امنیتی: این مهم‌ترین گام است. با حذف مجوزهای وراثتی، اطمینان حاصل می‌شود که گروه‌های با امتیاز بالا مثل Users یا Authenticated Users که به صورت پیش‌فرض دسترسی دارند، نتوانند به این پوشه دسترسی پیدا کنند.
• تعریف قانون دسترسی (Access Rule): یک قانون جدید ایجاد می‌شود که فقط به هویت Application Pool اجازه دسترسی می‌دهد.
• هویت:$appPoolIdentity
• نوع دسترسی:"Write" (نوشتن). این تنها چیزی است که برای آپلود فایل لازم است. اعطای حق Modify یا Full Control خطرناک است.
• وراثت:"ContainerInherit,ObjectInherit" تضمین می‌کند که این مجوز فقط به زیرپوشه‌ها و فایل‌های درون پوشه آپلود اعمال شود.
• اعمال تغییرات: قانون دسترسی جدید به ACL اضافه شده و سپس با Set-Acl بر روی پوشه اعمال می‌شود.
• تأثیر امنیتی نهایی: اکنون برنامه وب دات‌نت شما فقط و فقط می‌تواند در این یک مسیر خاص فایل بنویسد. اگر مهاجم تلاش کند تا از طریق برنامه، در مسیرهای حساس دیگر (مثلاً پوشه C:\Windows\System32) فایل بنویسد، سیستم عامل به دلیل عدم وجود مجوز در سطح Application Pool، عملیات را مسدود می‌کند.

• اعتبارسنجی پسوند: فقط پسوندهای مجاز (مثل .jpg, .png, .pdf) باید اجازه آپلود داشته باشند.
• بررسی امضای فایل (Magic Number): صرفاً اتکا به پسوند کافی نیست، زیرا مهاجم می‌تواند آن را تغییر دهد. باید چند بایت اول فایل (Magic Number) را بررسی کنید تا مطمئن شوید که نوع واقعی فایل با پسوند آن مطابقت دارد (مثلاً یک فایل با پسوند .jpg واقعاً یک تصویر JPEG باشد و نه یک فایل .exe تغییر نام داده شده).
• اسکن محتوا: در صورت امکان، فایل‌های آپلود شده باید با یک آنتی‌ویروس یا اسکنر محتوا بررسی شوند تا بدافزارها و کدهای مخرب شناسایی شوند.

• توصیه امنیتی: فایل‌های آپلود شده توسط کاربران (مانند تصاویر پروفایل، اسناد) باید در خارج از پوشه‌هایی که IIS آن‌ها را مستقیماً سرو می‌کند (مثل wwwroot یا مسیر اصلی سایت) ذخیره شوند.
• دلیل: اگر فایل‌های آپلود شده در داخل ریشه وب باشند، در صورت موفقیت‌آمیز بودن آپلود یک شل مخرب، مهاجم می‌تواند به راحتی با مرورگر به آن دسترسی پیدا کرده و آن را اجرا کند.
• راه‌حل: فایل‌ها را در مسیری اختصاصی (مانند D:\Uploads که در مثال کد فوق ذکر شد) ذخیره کنید و برای ارائه آن‌ها به کاربر، از یک Controller/Action در ASP.NET استفاده کنید که احراز هویت و مجوز دسترسی را قبل از ارسال فایل به کاربر بررسی می‌کند.

• در مسیر آپلود فایل، اجرای اسکریپت را در تنظیمات IIS غیرفعال کنید.
• یا برای اطمینان بیشتر، یک فایل web.config در آن پوشه قرار دهید تا اجرای اسکریپت‌ها را به طور کامل محدود کند.

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <handlers>
            <clear />
        </handlers>

        <modules>
            <remove name="ManagedEngine" />
        </modules>

        <security>
            <requestFiltering>
                <requestLimits maxAllowedContentLength="52428800" /> </requestFiltering>
        </security>
        
    </system.webServer>
</configuration>

<handlers>
    <clear />
</handlers>

<modules>
    <remove name="ManagedEngine" />
</modules>

<requestLimits maxAllowedContentLength="52428800" />