在內建的規則中大多已經很夠用了，其中在 [DenyQueryStringSequences] 區段定義的 "<" 與 ">" 更是阻擋 XSS 的關鍵 ( XSS 大多都搭配著 "<"script">" 的標籤搭配在 QuerryString 之後，搭配 UnescapeQueryString 的參數將 Escape 後的參數還原即可得知)。那其他的特徵呢？例如 declare, drop, select… 等正常不應該出現在 QuerryString 的參數要阻擋的設定怎麼辦？
2009-03-17
[資安筆記] IIS 安全性延伸模組 URLScan 3 進階應用 - 自訂規則清單
- 11622
- 0
- Windows IIS
- 2010-01-04