URLScan и знаки процента
Поэтому я столкнулся с глупой проблемой, из-за которой пользователи не могли загружать файлы, на которых был указан знак процента. Это коробка IIS6/Win2k3. Это оказалось URLScan. Мне пришлось отключить две вещи в urlscan.ini:
1) Установите VerifyNormalization в 0 (отключено)
2) Удалите знак процента из раздела "DenyUrlSequence"
Сделайте iisreset, и проблема решена. Но главный вопрос: насколько это опасно для безопасности?
2 ответа
Будьте осторожны с обработкой неотфильтрованных символьных объектов URI, так как строки URI могут использоваться в качестве средств для внедрения кода.
Знаки процента используются в кодировке URL и могут использоваться для выражения неприятных символов, таких как кавычки. Это отклонение может быть связано с тем, что NormalizeUrlBeforeScan включен или выключен, я бы попытался изменить этот параметр.
UrlScan не очень хороший WAF, и, скорее всего, у вас возникнут проблемы с другими ложными срабатываниями / ложными отрицаниями. Mod_Security более зрелый и может использоваться с IIS, однако он включает в себя запуск обратного прокси-сервера, который, честно говоря, немного беспорядок, но ИМХО это лучше, чем UrlScan.
Если у вас есть запасные золотые кирпичи, вы должны приобрести Cisco ACE, это хороший WAF.