Problèmes de sécurité liés au mappage de caractères génériques IIS6?

Question

Nous cherchons à utiliser des URL sans extension pour la première fois dans notre organisation. Nous avons demandé à nos administrateurs système d'ajouter un mappage générique à IIS6 afin que toutes les demandes soient traitées via asp.net. Ils repoussent, citant des soucis de sécurité. Je n'ai pas assez d'informations sur les problèmes de sécurité potentiels avec le mappage générique pour savoir quels problèmes de sécurité il peut ou ne peut pas créer. Tout commentaire serait apprécié.

Answer 1

Fondamentalement, en ajoutant un mappage générique à IIS6, toutes les demandes seront traitées via le framework .net. Je ne sais pas sur les problèmes de sécurité mais sachez que l'écart de performance n'a jamais été provern

voir link text

Answer 2

Le problème potentiel est vous maintenant autoriserons les demandes d'extensions telles que .exe à exécuter sur le serveur, et non filtré par IIS avant de transmettre des demandes à l'ISAPI.

Si vous avez des fichiers .exe, bat ou d'autres fichiers exécutables n'importe où dans un chemin IIS, tout utilisateur pourrait les exécuter.

Si vous êtes prudent dans la configuration des sites Web IIS et des répertoires virtuels afin qu'ils ne contiennent aucun élément susceptible d'être utilisé de manière malveillante, vous devriez être OK.

Answer 3

Gros problème, je suppose, est que la plupart des types d'administrateurs craignent ce qu'ils ne comprennent pas. Ils génèrent IIS, mais l'ensemble du pipeline ASP.NET est étranger. Demandez-leur de documenter leurs préoccupations, vous pouvez les abattre un par un. Il y a un souci de performance légitime avec le mappage générique, mais qui peut facilement être résolu en poussant les fichiers statiques non sécurisés vers un autre site virtuel (ou même un répertoire virtuel mappé séparément dans le site sans mappages).

Answer 4

Seul un problème de sécurité potentiel pourrait provenir d'une surface d'attaque accrue, car un attaquant pourrait désormais attaquer le framework .NET et pas seulement IIS. Mais c'est le même risque que vous prenez d'installer des applications d'écoute sur votre serveur. Le malentendu que je suppose est qu'ils pensent que cette liaison fera fonctionner n'importe quoi sous .NET, ce n'est pas le cas. Cela fait juste en sorte que .NET gère la livraison. Ce n'est que s'il est configuré pour être exécuté via les paramètres HttpModule dans web.config qu'il exécutera le code dans tous les fichiers autres que les liaisons par défaut (Quels sont ceux qu'il connecte avant de mettre dans le caractère générique de toute façon).

La performance est un problème raisonnable à soulever, mais je ne pense pas que les implications en termes de sécurité soient importantes.