老旧ASP.NET应用中ApplicationInsights目录出现异常.jsp文件的安全疑问

IIS是否会生成此类文件？ #

IIS本身绝不会生成.jsp格式的文件——.jsp是Java Web技术专属的文件类型，而IIS作为Windows平台的Web服务器，默认仅处理ASP.NET、静态资源等类型的内容，和Java技术栈无关联。

另外，ApplicationInsights（简称AI）的默认工作目录下也不会产出这类后缀的文件。AI主要生成日志、性能指标相关的临时文件，内容和格式都和JSP完全无关，所以这绝对不是正常的系统或组件行为。

是否存在安全问题？ #

这大概率是安全风险的信号，核心原因如下：

• w3wp.exe是IIS应用程序池的工作进程，正常场景下它没有理由创建JSP文件。这种“创建即删除”的行为，通常是恶意代码执行后的痕迹——攻击者可能利用老旧ASP.NET应用的已知漏洞（比如反序列化漏洞、过时第三方组件漏洞）植入恶意代码，在进程内执行时临时生成JSP文件（可能作为载荷载体，或尝试在Windows环境下触发非常规执行逻辑），完成操作后立即删除以隐藏踪迹。
• 即便应用本身没有文件上传功能，其依赖的第三方组件（包括旧版本的ApplicationInsights）也可能存在未修复的漏洞，被攻击者利用来写入文件。
• 如果应用程序池的运行账户权限过高，一旦应用被突破，攻击者就能轻易在服务器上写入任意文件。

紧急排查建议 #

• 立刻收紧应用程序池运行账户的权限，确保它仅拥有运行应用必需的读写权限，避免赋予管理员级别的高权限。
• 全面扫描应用代码，查找是否有可疑的动态文件创建逻辑，尤其是涉及非预期文件格式的代码片段。
• 将ApplicationInsights及所有依赖组件更新到最新稳定版本，修复已知的安全漏洞。
• 开启IIS的详细请求日志，监控并分析异常请求（比如带有奇怪参数、非预期路径的请求）。
• 使用静态代码分析工具、Web漏洞扫描器对应用进行全面检测，排查潜在的漏洞点。
• 检查服务器的系统安全日志，查看是否有异常登录、进程行为记录。

内容的提问来源于stack exchange，提问作者user1890098