NETWORK SERVICE是什么

NETWORK SERVICE是什么

Network Service 是 Windows Server 2003 中的内置帐户.Windows 操作系统中的所有帐户都分配了一个 SID（安全标识,Security ID）.服务器是根据 SID,而不是与 SID 相关的名称来识别服务器上所有帐户的,而你我在与用户界面进行交互时,则是使用名称进行交互的.服务器上创建的绝大部分帐户都是本地帐户,都具有一个唯一的 SID,用于标识此帐户隶属于该服务器用户数据库的成员.由于 SID 只是相对于服务器是唯一的,因此它在任何其他系统上无效.所以,如果您为本地帐户分配了针对某文件或文件夹的 NTFS 权限,然后将该文件及其权限复制到另一台计算机上时,目标计算机上并没有针对这个迁移 SID 的用户帐户,即使其上有一个同名帐户也是如此.这使得包含 NTFS 权限的内容复制可能出现问题.
内置帐户是由操作系统创建的、一类较为特别的帐户或组,例如 System 帐户、Network Service 和 Everyone 组.这些对象的重要特征之一就是,它们在所有系统上都拥有一个相同的、众所周知的 SID.当将分配了 NTFS 权限的文件复制到内置帐户时,权限在服务器之间是有效的,因为内置帐户的 SID 在所有服务器上都是相同的.Windows Server 2003 服务中的 Network Service 帐户是特别设计的,专用于为应用程序提供访问网络的足够权限,而且在 IIS 6 中,无需提升权限即可运行 Web 应用程序.这对于 IIS 安全性来说,是一个特大的消息,因为不存在缓冲溢出,怀有恶意的应用程序无法破译进程标识,或是对应用程序的攻击不能进入 System 用户环境.更为重要的一点是,再也不能形成针对 System 帐户的“后门”,例如,再也无法通过 InProcessIsapiApps 元数据库项利用加载到 Inetinfo 的应用程序.
Network Service 帐户在创建时不仅仅考虑了在 IIS 6 中的应用.它还具有进程标识 W3WP.exe 的绝大部分（并不是全部）权限.如同 ASPNET 用户为了运行 ASP.net 应用程序,需要具有 IIS 5 服务器上某些位置的访问权限,进程标识 W3WP.exe 也需要具有类似位置的访问权限,而且还需要一些默认情况下没有指派给内置组的权限.
为了管理的方便,在安装 IIS 6 时创建了 IIS_WPG 组（也称为 IIS 工作进程组,IIS Worker Process Group）,而且它的成员包括 Local System（本地系统）、Local Service（本地服务）、Network Service（网络服务）和 IWAM 帐户.IIS_WPG 的成员具有适当的 NTFS 权限和必要的用户权限,可以充当 IIS 6 中工作进程的进程标识.以下位置具有指派给 IIS_WPG 的权限：
• %windir%\help\iishelp\common – 读取
• %windir%\IIS Temporary Compressed Files – 列出、读取、写入
• %windir%\system32\inetsrv\ASP Compiled Template – 读取
• Inetpub\wwwroot（或内容目录）- 读取、执行
另外,IIS_WPG 还具有以下用户权限：
• 忽略遍历检查（SeChangeNotifyPrivilege）
• 作为批处理作业登录（SeBatchLogonRight）
• 从网络访问此计算机（SeNetworkLogonRight）
因此,Network Service 帐户提供了访问上述位置的权限,具有充当 IIS 6 工作进程的进程标识的充足权限,以及具有访问网络的权限.