如果我取消选中 IIS中的"启用匿名访问"复选框,以便密码保护站点,即通过限制对指定Windows帐户的读取访问权限,生成的密码对话框然后呈现给所有匿名http请求,代表安全风险因为它(看似)提供所有和各种各样的尝试猜测任何Windows帐户密码？
编辑:好的,到目前为止,这并没有太多的快乐,所以我附上了赏金.只有50分对不起,我是一个谦虚的人.为了澄清我的目的:在IIS中禁用匿名访问是否为公众提供了以前不存在的密码猜测机会,或者是否可以通过在用户名和密码中包含用户凭据对话框来模拟浏览器的用户凭据对话框. http请求直接,并且即使页面对匿名用户开放,响应也会指示组合是否正确？此外,通过http主题提交的错误密码尝试是针对内部登录强制执行的相同锁定策略,如果是这样,这代表了一个非常容易故意锁定已知用户名的机会,或者,如果没有,是否有任何可以做的事情减轻这种无限密码猜测的机会？
京公网安备 11010802040832号 | 京ICP备19059560号-6 