将远程调试程序附加到IIS有哪些安全风险？

Question

我是一名网络开发人员。我曾经在可以构建整个生产网站并在本地IIS中运行它们以进行调试的环境中工作。

我最近更换了工作，现在不允许了。安全策略（请不要问）不允许我在我的开发工作站上运行IIS。然而，似乎没有理由不把我的远程调试器（msvsmon.exe）附加到运行开发网站的IIS上，因为它不是面向公众的（我的工作站也不是公众面对的，但我们不要谈论我无法控制的安全策略）。

我想知道使用远程调试器有哪些安全问题。该文档说UDP端口135必须打开之间的远程开发工作站和正在调试的Web服务器...

是否有任何特别的安全问题，我应该牢记？

Answer 1

唯一的安全问题是在https流量正在调试的情况下，该端口上的内部流量嗅探，未加密的值是正在调试的部分，这些数据可能会通过未加密的线路进行传输。另外，接收UDP数据包的服务中的漏洞可能会被攻击（再次在内部），以通常不可用的方式访问（UDP端口侦听关闭）。