URLScan и знаки процента

Question

Так что я просто наткнулся на глупую проблему, из-за которой пользователи не могли скачивать файлы, в которых был знак процента. Это коробка IIS6 / Win2k3. Это оказалось URLScan. Мне пришлось отключить две вещи в urlscan.ini:

1) Установите VerifyNormalization в 0 (отключено)
2) Удалите знак процента из раздела «DenyUrlSequence»

Сделайте iisreset, и проблема решена. Но главный вопрос: насколько это опасно для безопасности?

Answer 1

Будьте осторожны с обработкой неотфильтрованных символьных объектов URI, так как строки URI могут использоваться как средства для внедрения кода.

Answer 2

Знаки процента используются в кодировке URL и могут использоваться для выражения неприятных символов, таких как кавычки. Это отклонение может быть связано с тем, что NormalizeUrlBeforeScan включен или выключен, я бы попробовал изменить этот параметр.

UrlScan не очень хороший WAF, и вполне вероятно, что у вас возникнут проблемы с другими ложными срабатываниями / ложными отрицаниями. Mod_Security более зрелый и может использоваться с IIS, однако он включает в себя запуск обратного прокси-сервера, который, честно говоря, немного беспорядок, но ИМХО это лучше, чем UrlScan.

Если у вас есть запасные золотые кирпичи, вы должны взять Cisco ACE , это хороший WAF.