ASP.NET(IIS)中以不同用户运行PsExec进程遇权限及输出异常求助

这个问题我之前帮不少人排查过，核心矛盾点在于本地VS运行环境和IIS部署环境的上下文差异，加上PsExec本身的权限/输出特性，咱们一步步拆解：

1. IIS应用池身份的权限鸿沟 #

本地VS运行Web应用时，程序是在当前登录的管理员账户上下文下执行的——这个账户本身有远程服务器的访问权限，所以PsExec能正常工作。但IIS默认用的是ApplicationPoolIdentity或Network Service这类本地系统账户：

• 这类账户没有远程服务器的登录/执行权限，所以无凭据时直接报Access is denied；
• 即使你在代码里指定了远程管理员凭据，也可能因为双跳权限问题（域环境）或本地账户跨机器认证限制（工作组环境），导致凭据无法正确传递到远程服务器。

解决思路： #

• 如果是域环境：把IIS应用池的身份改成拥有远程服务器管理员权限的域账户，并确保该域账户具备Kerberos委派权限（避免双跳问题）；
• 如果是工作组环境：要么把应用池身份改成本地管理员账户，要么确保远程服务器上存在相同用户名密码的管理员账户（工作组下账户不互通，只能靠同名同密码绕过）。

2. PsExec的非交互式输出捕获坑 #

PsExec在非交互式会话（IIS就是典型的非交互式环境）下运行时，远程进程的输出经常无法正常重定向到IIS进程——这是Windows会话0隔离机制导致的，远程进程的输出流无法关联到非交互式的宿主进程。

解决思路： #

• 放弃直接捕获输出，改为让远程应用把结果写入远程服务器的本地文件，然后通过SMB或其他方式读取该文件内容，比如：

  psexec \\remoteServer -u adminUser -p adminPass yourApp.exe > C:\temp\output.txt
  

  之后用File.ReadAllText(@"\\remoteServer\C$\temp\output.txt")读取结果；
• 如果必须直接捕获，确保代码里正确配置ProcessStartInfo：

  var psi = new ProcessStartInfo(@"C:\Tools\psexec.exe")
  {
      Arguments = @"\\remoteServer -u admin -p yourPass yourApp.exe",
      UseShellExecute = false, // 必须设为false，否则凭据和重定向无效
      RedirectStandardOutput = true,
      RedirectStandardError = true,
      CreateNoWindow = true,
      WorkingDirectory = Environment.SystemDirectory // 避免工作目录问题
  };
  
  using (var process = Process.Start(psi))
  {
      // 注意：先读错误流再读输出流，避免死锁
      string error = process.StandardError.ReadToEnd();
      string output = process.StandardOutput.ReadToEnd();
      process.WaitForExit();
      
      // 处理结果
  }
  

3. 远程服务器的UAC限制 #

Windows默认的UAC设置会过滤本地管理员账户的远程访问请求——即使你用管理员凭据登录，远程服务器也会自动降权，导致进程无法正常执行或输出为空。

解决思路： #

在远程服务器上修改注册表（需要管理员权限）：

1. 打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System；
2. 新建DWORD值LocalAccountTokenFilterPolicy，设置值为1；
3. 重启远程服务器，让设置生效。

这个配置会禁用UAC对本地管理员账户的远程权限过滤，允许远程管理员账户以完整权限执行操作。

4. 代码中的细节遗漏 #

最后检查几个容易忽略的代码细节：

• 确保PsExec的路径是绝对路径：IIS的工作目录不是VS的项目目录，直接写psexec.exe可能找不到文件；
• 凭据传递是否正确：如果用ProcessStartInfo.UserName和Password，Password必须是SecureString类型，且不能省略UseShellExecute = false；
• 防火墙/端口：确保IIS服务器和远程服务器之间开放了PsExec所需的端口（135、445，以及动态RPC端口），不过这个一般会直接报错，而非输出为空。

内容的提问来源于stack exchange，提问作者Tony G