IIS6 مخاوف صليصة البدل المخاوف الأمنية؟

Question

ونحن نتطلع إلى استخدام URL غير المرغوب فيه لأول مرة في منظمتنا. لقد طلبنا أن يقوم Ors Admins بإضافة خرائط لحم البدل إلى IIS6، لذا تمت معالجة جميع الطلبات من خلال ASP.NET. إنهم يدفعون إلى الوراء، مشيرا إلى مخاوف الأمن. ليس لدي معلومات كافية حول مشكلات الأمان المحتملة مع تعيين أحرف البدل لمعرفة المشكلات الأمنية التي قد تكون أو لا تنشئها. اي اراء ستكون مقدرة.

Answer 1

أساسا عن طريق إضافة رسم خرائط البدل إلى IIS6 ثم سيتم معالجة جميع الطلبات من خلال .NET Framework. لست متأكدا من المخاوف الأمنية، لكنني أعلم أن عيب الأداء لم يكن مثلك

يرى رابط النص

Answer 2

قضية كبيرة، أظن أن معظم أنواع المسؤولين تخشى أن يفهمونها. إنهم Grok IIS، ولكن خط أنابيب ASP.NET بأكمله أجنبي. احصل عليها لتوثيق مخاوفهم، ثم يمكنك إطلاق النار عليها واحدا تلو الآخر.

هناك قلق من الأداء المشروع للغاية مع تعيين بطاقة البدل، ولكن يمكن بسهولة حلها بسهولة عن طريق الضغط على الملفات الثابتة غير المضمونة إلى موقع افتراضي آخر (أو حتى دليل ظاهري معين بشكل منفصل داخل تعيينات Sount Sans).

Answer 3

سيكون مصدر قلق الأمن المحتمل فقط من سطح هجوم متزايد، لأن المهاجم قد يهاجم الآن .NET Framework وليس فقط IIS. ولكن هذا هو نفس المخاطر التي تأخذها في تثبيت أي تطبيقات الاستماع على الخادم الخاص بك.

إن سوء الفهم أفترض هو أنهم يعتقدون أن هذا الربط سيجعل أي شيء يعمل ك. هذا فقط يجعل .NET التعامل مع تسليمها. فقط إذا تم تكوينها ليتم تنفيذها عبر إعدادات HttpModule في Web.config هل ستشغيل التعليمات البرمجية بالفعل في أي ملفات أخرى غير الروابط الافتراضية (التي هي التي هي التي يتم إرسالها قبل وضعك في Wildcard على أي حال).

الأداء هو مشكلة معقولة لرفع، لكنني لا أعتقد أن الآثار الأمنية هي صفقة كبيرة.

Answer 4

المشكلة المحتملة هل ستسمح لها الآن بتقديم طلبات مثل. exe الواجب تنفيذها على الخادم، وعدم تصفيتها بواسطة IIS قبل تسليم الطلبات إلى ISAPI.

إذا كان لديك أي .EXE أو BAT أو أو غيرها من الملفات القابلة للتنفيذ في أي مكان في مسار IIS، فلن يتمكن أي مستخدم من تنفيذها.

إذا كنت حذرا في إنشاء مواقع الويب IIS، والدلائل الافتراضية، فلا تحتوي على أي شيء يمكن استخدامه بشكل ضار، فعليك أن تكون على ما يرام.