IIS6通配符映射安全性問題？

Question

我們希望在我們的組織中首次使用無擴展名的URL。我們已經要求我們的系統管理員爲IIS6添加通配符映射，以便通過asp.net處理所有請求。他們正在推遲，引用安全問題。我沒有足夠的關於通配符映射的潛在安全問題的信息來了解它可能或不可能創建的安全問題。對於任何反饋，我們都表示感謝。

Answer 1

基本上通過向IIS6添加通配符映射，所有請求都將通過.net框架進行處理。我不知道有關的安全問題，但知道性能劣勢從未provern

看到link text

Answer 2

的潛在的問題是，你現在將被允許在服務器上執行的延期請求如.exe，並且在將請求交給ISAPI之前不會被IIS過濾掉。

如果您在IIS路徑的任何位置有任何.exe，bat或其他可執行文件，任何用戶都可以執行它們。

如果您在設置IIS網站和虛擬目錄時非常小心，以便它們不包含任何可能被惡意使用的內容，那麼您應該沒問題。

Answer 3

我懷疑，最大的問題是，大多數管理員類型都擔心他們不理解。他們注意IIS，但整個ASP.NET管道是外來的。讓他們記錄他們的擔憂，然後你可以逐個拍攝他們。

通配符映射存在一個相當合理的性能問題，但可以通過將非安全靜態文件推送到另一個虛擬站點（甚至是站點sans映射中的單獨映射虛擬目錄）輕鬆解決。

Answer 4

只有可能的安全問題來自於增加的攻擊面，導致攻擊者現在可以攻擊.NET框架而不僅僅是IIS。但這與在服務器上安裝任何偵聽應用程序的風險相同。

我假設的誤解是，他們認爲這個綁定將使任何運行.NET的東西，它不會。它只是讓.NET處理它的交付。只有當它被配置爲通過web.config中的HttpModule設置來執行時，它纔會真正在除默認綁定之外的任何文件中運行代碼（無論如何，它們都是在您將通配符放入之前掛接的那些文件中的代碼）。

性能是一個合理的問題來提高，但我不認爲安全影響是一個大問題。