asp.net - サブドメインにログインした後、urlscan によって拒否される

Question

asp.net 2.0 Web サイトで奇妙な問題が発生しています。サブドメインにログインしてからメイン ドメインにアクセスすると、ホーム ページのリンクをクリックすると、web ログにチルダで始まるリンク URL が表示され、url スキャンによる拒否エラーが発生します。この問題は何ですか？

Answer 1

これは、ホストの最近の更新後、特殊文字を含むクエリを拒否し始めた UrlScan の問題であることが判明しました。一部の Cookie の値に特殊文字が含まれていたため、Cookie が存在する場合にのみ発生しました。

理由を見つけたら、特殊文字を許可する UrlScan の特殊フラグをオンにしようとしました。しかし、web.configではうまくいきませんでした。これは、Web サイトごとに IIS レベルで実行する必要があります。セキュリティ上の理由からそれを行うかどうかを検討しています。新しい UrlScan 機能のアイデアは、攻撃を阻止するのに適しています。

その間、古い Cookie を削除し、暗号化された値でそれらを再作成して、特殊文字が検出されないようにするための初期化コードを追加しました。しかし、場合によっては初期化コードでさえ実行できなかったので、自動回復のために最終的なエラー処理ページにも追加する必要がありました。