3

私たちのサイトの1つにある問題は次のとおりです。

Windows ファイル システムの短縮文字とステータス リターン コードを使用したファイル/ディレクトリ名の総当たり攻撃

It is possible to find an unknown filename up to six characters by using shorthand file characters such as ~1 and
    *Example: site.com/admin/uplo*~1*/.aspx
This attack relies on reading different error codes the webserver responds with when the file(s) exist or not. Let’s say the file upload.aspx exists in the directory admin. Our attacks responses would look like this:
    site.com/admin/uplo*~1*/.aspx – IIS returns HTTP 404 File Not Found (valid file)
    site.com/admin/uplp*~1*/.aspx – IIS returns HTTP 400 Bad Request (invalid file)
        *Note that IIS 7.x responds with different error codes (0×0 when valid) instead of http status codes

詳細 http://www.alertlogic.com/internet-information-server-iis-exploitation-2/

考えられる解決策の 1 つ: ... 可能であれば、URL 書き換えを使用して、チルダ文字を含む URL を受け入れないようにすることを検討してください ...

質問: どうすればいいですか? Web サイトのすべての URL で ~ 文字を破棄するために、URL 書き換えルールでどの正規表現を使用する必要があるか (ASP.NET 3.5)

4

2 に答える 2

8

次のいずれかを実行することで修正できます。

1. Install .NET 4.0 on the web server.

また

2. Install and configure IIS URLScan module (do not allow ~ chars in the URL by adding ~ to [DenyUrlSequences] section).

ここでさらに役立つ情報を見つけてください: http://weblogs.asp.net/scottgu/archive/2010/09/18/important-asp-net-security-vulnerability.aspx

于 2012-08-27T15:07:12.923 に答える
1

IIS で 8.3 ファイル名の生成を無効にする必要があります。レジストリの変更は簡単ですが、影響を受けるすべてのディレクトリをコピーする必要があるため、IIS を停止する必要があります。

NTFS パーティションで 8.3 ファイル名の作成を無効にする方法

NtfsDisable8dot3NameCreation

于 2014-10-07T08:48:09.487 に答える