Фильтрация запросов IIS - зачем фильтровать строки запросов

В IIS7 & 8 Фильтрация запросов у вас могут быть правила, разрешающие или запрещающие URL и QueryString.

Я понимаю, почему вы хотели бы заблокировать последовательности, которые входят с векторами атаки, такими как drop или же document.cookie но как узнать, какие строки запросов нужно блокировать, кроме как разрешить те, которые вы знаете, и заблокировать все остальное?

Кто-нибудь получил какие-либо отзывы или ссылки на лучшие практики?

Источник

1 ответ

Решение

Хорошо, в справке он ссылается на старые сценарии функций UrlScan, но здесь есть ссылка на обновленные сценарии. Использование расширенных функций фильтрации запросов в IIS7

В двух словах: вы можете разрешить только URL /login.aspx а также /default.aspx - они будут помещены в раздел разрешенного URL.

Кроме того, вы можете разрешить строку запроса Allow=true но запретить любую строку запроса, которая включает в себя последовательность .. или же ./

Источник
Другие вопросы по тегам