当我使用该appcmd list appool <ApplicationPoolName> /text:*命令时，它会以明文形式显示应用程序池身份密码。Get-WMIObject我也可以在 PowerShell 中以明文形式查看密码。这可能是一个严重的安全威胁，因为具有正确访问凭据的用户可以轻松查看密码。
IIS (v7.5) 中的应用程序池是使用域用户帐户/密码配置的。在applicationHost.config文件中，密码使用IISWASOnlyAesProvider加密提供程序进行加密。尽管如此，当我使用上述两种方法中的任何一种时，密码仍以明文形式显示。
当我使用上述两种方法时，有什么方法可以加密密码，使它们不会以明文形式显示？
除非有什么改变，否则答案是否定的。校长最好由Raymond Chen说：
“这就像说某人家的窗户不安全，因为窃贼只需从里面解锁和打开窗户就可以进入房子。” （但如果窃贼必须进入室内才能解锁窗户......）'。
总而言之，任何可以访问您的 IIS 服务器或可以远程对您的服务器执行 WMI 命令或可以对您的服务器执行 powershell 命令的人都可以访问。
他们被假定为管理员，并且被假定为受信任的，因为有时管理员需要提取密码以进行恢复，或者如果未完成适当的注释或密码管理，则需要将节点添加到共享池[主要在进行基本身份验证时需要在需要共享密码的域集群上]。
仅当您appcmd以管理员身份运行时，密码才会解密。如果您作为普通帐户运行，您将取回加密字符串。
这将类似于[enc:IISSomethingProvider:…:enc]您在applicationHost.config中找到的内容。