我在Windows 2008服务器上的IIS下运行FTP。 计算机不是域的一部分。 我也在使用用户隔离。
我设置了一个testing用户来validation我是否从Internet连接到服务器。 我使用在线FTP客户端来testing连接。 我成功login到服务器。 一旦我完成了我的testing，我在“计算机pipe理器”中禁用了用户帐户。 在我禁用帐户后，我尝试再次从在线FTP客户端连接。 令我惊讶的是，让我login到服务器与残疾人的帐户。 我首先想到的是在线工具必须caching结果。 为了testing这个理论，我重新命名了用户主文件夹中的一个文件并重新连接。 果然，在线客户端再次成功连接，并检索一个更新的文件列表与最新的文件名。
这似乎是一个非常糟糕的安全漏洞在Windows 2008中发生了什么？ FTP服务是否caching用户数据库，从而对旧数据进行validation？
最终它会拒绝用户，但系统将花费大约半小时的时间来识别用户被禁用。
编辑：
我用下面的testing网站来validation我可以作为一个禁用的用户login到我的FTP站点https://ftptest.net/ https://www.infobyip.com/ftptest.php
以下是本网站的一些IIS设置：
IIS使用需要从caching中删除的令牌，以防止以前能够访问该网站的用户。 清除caching的最小时间间隔是15分钟。 如果您重新启动IIS，caching也将被清除。
https://support.microsoft.com/en-us/help/152526/changing-the-default-interval-for-user-tokens-in-iis