为何授予PipeAccessRights.CreateNewInstance存安全风险？如何安全创建多命名管道实例

为什么授予PipeAccessRights.CreateNewInstance存在安全风险？ #

• 这个权限的核心是允许任何拥有该权限的用户，在同一个管道名称下创建新的服务器实例。如果恶意用户拿到这个权限，能搞出不少破坏：
  • 疯狂创建无效管道实例，把系统的句柄、内存等资源耗尽，直接让合法服务无法接收连接，也就是常见的拒绝服务（DoS）攻击。
  • 伪装成合法服务器实例，拦截客户端的连接请求——因为客户端连管道时，系统会随机选可用实例，恶意实例可能被优先选中，进而窃取敏感数据或者返回恶意响应。
• 最关键的是，这个权限打破了“管道实例由服务端专属创建”的安全边界，把本该由服务端掌控的实例创建权交给了非信任的客户端，完全违背了命名管道的安全设计逻辑。

跨网络场景下多实例管道的正确权限配置 #

正确的思路是服务器端完全掌控管道实例的创建，客户端只保留连接和交互的必要权限，绝对不能碰实例创建权限。具体操作如下：

1. 服务端统一创建所有管道实例

   • 由服务端程序（通常用LocalSystem或专用服务账户这类高权限身份运行）预先创建足够的多实例，或者根据负载动态新增实例，但所有创建操作都由服务端自己完成。
   • 彻底切断客户端参与实例创建的路径，从根源上杜绝权限滥用的可能。

2. 精准配置管道的访问控制列表（ACL）

   • 只给客户端账户分配**PipeAccessRights.ReadWrite + PipeAccessRights.Synchronize**权限，这俩是客户端连接管道并正常交互的最小必要权限。
   • 明确拒绝任何客户端账户拥有CreateNewInstance、CreatePipeInstance这类涉及实例创建的权限。
   • 示例C#代码：

     // 构建管道安全配置对象
     var pipeSecurity = new PipeSecurity();
     // 给指定客户端用户组添加读写和同步权限
     var accessRule = new PipeAccessRule(
         @"DOMAIN\ClientUsers",
         PipeAccessRights.ReadWrite | PipeAccessRights.Synchronize,
         AccessControlType.Allow);
     pipeSecurity.AddAccessRule(accessRule);
     
     // 服务端创建多实例管道
     using var serverStream = new NamedPipeServerStream(
         "MyCrossNetworkPipe",
         PipeDirection.InOut,
         NamedPipeServerStream.MaxAllowedServerInstances,
         PipeTransmissionMode.Byte,
         PipeOptions.Asynchronous,
         4096,
         4096,
         pipeSecurity);
     

3. 跨网络场景的额外注意事项

   • 管道名称格式要正确：本地用\\.\pipe\前缀，跨网用\\远程主机名\pipe\前缀；同时确保网络防火墙开放SMB协议端口（默认445），允许命名管道流量通行。
   • 保留Windows身份验证（默认启用），只让经过身份验证的合法客户端连接管道，禁止匿名访问。
   • 服务端运行账户需要拥有创建跨网命名管道的权限——LocalSystem或管理员账户默认具备，专用服务账户需要在本地安全策略中配置对应权限。

内容的提问来源于stack exchange，提问作者javery