我在网站上的.js文件中附加了一些恶意javascript，并在日志中跟踪到旧的FCKEditor漏洞。
作为一个相对新手，我一直在阅读有关此操作的完成方式以及如何防范该错误的信息，但是下面列出了一些具体问题。
如果有帮助，那就是Windows Server 2012，IIS 8和SQL Server，我很尴尬地说，但这是一个仍在运行Classic ASP的旧站点。这是我的问题：
-
我在IIS中将IUSR作为我的匿名用户。当黑客上传.asp文件以获取外壳程序访问权限时，我认为它们只有通过IUSR授予他们的特权，对吗？如果服务器经过适当的加固，他们将无法升级特权以获取比IUSR更大的访问权限，对吗？
-
我已将“匿名用户”更改为应用程序池标识。由于黑客的抓取外壳访问ASP程序现在将不再具有IUSR的特权，而仅具有应用程序池标识，因此可以安全地假定他们无法获得运行WHoamI等命令或任何其他此类命令的能力吗？应用程序池标识（以及提供网页的任何.asp程序）将具有什么权利？
-
最后一个问题。好的，因此，鉴于IIS的匿名用户可以运行.asp程序并获得外壳程序访问权限，因此我显然为此框赋予了IUSR太多的功能。那么，如何查询IUSR在整个计算机上拥有哪些特权？我知道，例如，我可以右键单击inetpub文件夹，然后查看安全性以查看IUSR可以执行的操作，但是有一种方法可以获取整个服务器的报告，以了解该特定用户的全部权限和特权。
我对这些问题的关注更多是关于一般学习，而不是保护这个盒子。我确定有人可能会说您的盒子可能是烤面包和后门的，所以将其丢弃并从新服务器开始，但我知道。我也知道我应该做一些我没有做过的事情。感谢您对以上问题的回答，这将有助于我学习和改进。非常感谢。