URL重写删除波浪线

在我公司的年度安全/渗透测试，下面的问题就来了波浪线方面和短名称文件aspx页面：URL重写删除波浪线

Here是白皮书的主题。它看起来像是一个相对新发现的漏洞（本文从2012年6月开始），在URL中正确的位置插入折线图可以让您找到aspx文件的短名称。我正在寻找一种方法来清除所有向我们网站发出的网页请求以防止出现这种情况。

白皮书建议升级到IIS 7，但这是一个无法很快完成的重大项目。我们正在使用C＃.NET 4.0/IIS 6.任何有经验的人都可以指出我正确的方向吗？

2012-11-26 Josh Blade

你可以只添加以下代码到Global.asax中：

Protected Sub Application_BeginRequest(ByVal sender As Object, ByVal e As System.EventArgs) 

    If HttpContext.Current.Request.RawUrl.Contains("~") Then 
     'do whatever - eg: stip the ~ or redirect to error page 
    End If 

End Sub

来源

2012-11-26 12:29:57

这不符合我的特殊问题提供帮助。它看起来像IIS处理URL的方式使得当使用白皮书中的方法时，它实际上从未实际获取到任何应用程序代码。我一直想知道Global.asax文件到底是什么（我们的网站没有，但我已经看到了它们），所以我读了它并玩了一下。上面的建议确实可以将url从网址中删除，如果它到达我的应用程序（这不会帮助我，因为我的应用程序永远不会被调用）。我很欣赏有机会学习新的东西。 –

您可以使用urlrewrite for II6来替代，这会在获得您的应用程序之前处理请求。 –

URL重写删除波浪线

回答

相关问题