URLScan工具配置方法第2/2頁
2024-07-09 22:40:11
供稿：網友
本文分步說明如何配置 URLScan 工具以防止 Web 服務器受到攻擊和利用。
默認情況下，此選項設置為 0。如果將此選項設置為 0，則 URLScan 作為高優先級篩選器運行，這表示它先于服務器上安裝的所有其他 Internet 服務器應用程序編程接口 (ISAPI) 篩選器執行。如果將此選項設置為 1，則 URLScan 作為低優先級篩選器運行，以便其他篩選器可以在 URLScan 進行任何分析之前修改 URL。FrontPage Server Extensions (FPSE) 要求將此選項設置為 1。
? RejectResponseUrl=（默認情況下不指定）
此選項指定在 URLScan 禁止請求時運行的文件的虛擬路徑。這允許您自定義針對被禁止的請求發送給客戶機的響應。必須將 RejectResponseUrl 指定為相應文件的虛擬路徑，如 /Path/To/RejectResponseHandler.asp。可以指定 URLScan 通常禁止的文件，如 Active Server Pages (ASP) 頁。還可以從該頁指定以下服務器變量： ? HTTP_URLSCAN_STATUS_HEADER：此變量指定請求被禁止的原因。
? HTTP_URLSCAN_ORIGINAL_VERB：此變量指定被禁止的請求中的原始謂詞（例如 GET、POST、HEAD 或 DEBUG）。
? HTTP_URLSCAN_ORIGINAL_URL：此變量指定被禁止的請求中的原始 URL。
如果將 RejectResponseUrl 設置為特殊值 /~*，則 URLScan 使用“僅日志記錄”模式。這允許 IIS 為所有請求提供服務，但它會在 URLScan 日志中為所有通常被禁止的請求添加相應的項。這在需要測試 URLScan.ini 文件時很有用。
如果沒有指定 RejectResponseUrl 的值，則 URLScan 使用默認值 /<Rejected-By-UrlScan>。
? UseFastPathReject=0
默認情況下，此選項設置為 0。如果將此選項設置為 1，則 URLScan 忽略 RejectResponseUrl 設置并立即向瀏覽器返回 404 錯誤信息。這比處理 RejectResponseUrl 要快，但它允許的日志記錄選項沒有那么多。如果將此選項設置為 0，則 URLScan 使用 RejectResponseUrl 設置來處理請求。
[AllowVerbs] 節和 [DenyVerbs] 節
[AllowVerbs] 節和 [DenyVerbs] 節定義 URLScan 允許的 HTTP 謂詞（又稱作方法）。常用的 HTTP 謂詞包括 GET、POST、HEAD 和 PUT。其他應用程序（如 FPSE 和 Web 分布式創作和版本控制 (WebDAV)）使用更多的謂詞。
[AllowVerbs] 節和 [DenyVerbs] 節的語法相同。它們由 HTTP 謂詞列表組成，每個謂詞占一行。
URLScan 根據 [Options] 節中 UseAllowVerbs 選項的值來決定使用哪一節。默認情況下，此選項設置為 1。如果將 UseAllowVerbs 設置為 1，則 URLScan 僅允許那些使用 [AllowVerbs] 節中列出的謂詞的請求。不使用任何這些謂詞的請求將被拒絕。在這種情況下，[DenyVerbs] 節被忽略。
如果將 UseAllowVerbs 設置為 0，則 URLScan 拒絕那些使用 [DenyVerbs] 節中明確列出的謂詞的請求。允許任何使用未在此節中出現的謂詞的請求。在這種情況下，URLScan 忽略 [AllowVerbs] 節。
