URLScan和百分号

Question

所以我只是遇到了一个愚蠢的问题，用户无法下载具有百分号的文件。这是一个IIS6/Win2k3盒子。它最终成为URLScan。我不得不取消设置两件事情在URLScan.ini中：

1）设置VerifyNormalization为0（禁用）
2）从 “DenyUrlSequences” 删除百分号部分

做一个iisreset，并解决问题。但是最大的问题是：这有多大的安全风险？

Answer 1

百分号用于URL编码，可用于表示令人讨厌的字符，如引号标记。这种拒绝可能是由于NormalizeUrlBeforeScan处于打开或关闭状态，我会尝试翻转此设置。

UrlScan不是一个很好的WAF，它可能会遇到其他误报/漏报的问题。 Mod_Security更成熟，可以与IIS一起使用，但它涉及运行反向代理，说实话有点乱，但恕我直言，它比UrlScan更好。

如果你有一些备用金砖，你应该拿起Cisco ACE，这是一个很好的WAF。

Answer 2

请注意处理未过滤的URI字符实体，因为URI字符串可用作代码注入的工具。