FIX: Blocuri ISA 2006 a publicat site-ul cereri pentru URL-urile care includ transportul întoarce (CR) sau linefeeds (LF)

Traduceri articole Traduceri articole
ID articol: 2622172 - View products that this article applies to.
Importante Acest articol conține informații care vă arată cum să contribuim la setările de securitate mai mici sau cum se dezactivează caracteristici de securitate pe un computer. Efectuați aceste modificări pentru a rezolva o anumită problemă. Înainte de a face aceste modificări, vă recomandăm să evaluați riscurile asociate implementării acestei proceduri în mediul dumneavoastră special. Dacă implementați această procedură, să ia toate măsurile suplimentare pentru a ajuta la protejarea computerului.
Măriți totul | Reduceți totul

SIMPTOME

Luați în considerare următorul scenariu:
  • Publicați o pagină Web prin intermediul Microsoft Internet Security and Acceleration (ISA) Server 2006 utilizând autentificarea pe bază de formulare.
  • Accesați această pagină Web utilizând un URL care conține un retur de car scăpat ("% 0 D") sau un linefeed ("% 0A"), în URL-ul.

În acest scenariu, ISA Server 2006 Blocheaza accesul la URL-ul. În plus, jurnalele de ISA Web Proxy arată un cod de rezultatul de 12232 pentru solicitarea negat.

Notă Rețineți că acest rezultat cod poate fi autentificat, de asemenea, din cauza alte probleme și că URL-ul care este conectat ar trebui să fie revizuită pentru % 0a sau d % 0 caractere pentru a determina dacă aceasta este problema cu care vă confruntați și cu.

CAUZĂ

Această problemă apare deoarece filtrul autentificarea bazată pe formulare blocuri cunoscut traversare-site scripting și atacuri conexe. În acest caz, filtrul este blocarea răspuns scindarea atacuri, care include transportul întoarce sau linefeeds. Cu toate acestea, valabil URL-uri pot include, de asemenea, aceste caractere. De exemplu, aplicarea IBM Rational Clearquest este cunoscut pentru a utiliza întoarce transportul sau linefeeds în URL-urile sale.

REZOLUȚIE

Pentru a rezolva această problemă, instalați ISA Server 2006 pachet pachetul de remediere rapidă care este descrisă în următorul articol din baza de cunoștințe Microsoft:
2616326 Descrierea pachetului de remediere rapidă ISA Server 2006: septembrie 2011

INFORMAȚII SUPLIMENTARE

AVERTISMENT Această procedură poate face un computer sau o rețea mai vulnerabile la atacuri de utilizatori rău intenționați sau de software rău intenționat, precum virușii. Noi nu recomandăm această procedură dar sunt furnizarea acestor informații, astfel încât vă puteți pune în aplicare această procedură la propria discretie. Utilizați această procedură la propriul risc.

Următorul script va dezactiva comportamentul implicit în ISA Server 2006 Service Pack 1 și activați ISA Server pentru a permite URL-uri care conțin transportul întoarce (CR) sau linefeeds (LF) în adresa URL. Pentru a utiliza acest script, urmați acești pași.

ImportanteNotă Dezactivarea acest comportament implicit de ISA Server 2006 SP1 (pentru a adapta aceste cereri) ar putea permite, de asemenea, ISA Server pentru a permite potențial URL-urile care au fost în mod specific artizanale pentru atacuri "traversare-site solicitare fals" când ISA Server utilizează autentificarea bazată pe formulare.
  1. Porniți Notepad.
  2. Lipiți următorul script într-un document nou.
    Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
    Const SE_VPS_NAME = "AllowNewlineInURL"
    Const SE_VPS_VALUE = true
     
    Sub SetValue()
     
        ' Create the root object.
        Dim root  ' The FPCLib.FPC root object
        Set root = CreateObject("FPC.Root")
     
        'Declare the other objects needed.
        Dim array       ' An FPCArray object
        Dim VendorSets  ' An FPCVendorParametersSets collection
        Dim VendorSet   ' An FPCVendorParametersSet object
     
        ' Get references to the array object
        ' and to the network rules collection.
        Set array = root.GetContainingArray
        Set VendorSets = array.VendorParametersSets
     
        On Error Resume Next
        Set VendorSet = VendorSets.Item( SE_VPS_GUID )
     
        If Err.Number <> 0 Then
            Err.Clear
     
            ' Add the item
            Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
            WScript.Echo "New VendorSet added... " & VendorSet.Name
     
        Else
            WScript.Echo "Existing VendorSet found... value- " &  VendorSet.Value(SE_VPS_NAME)
        End If
     
        if VendorSet.Value(SE_VPS_NAME) <> SE_VPS_VALUE Then
     
            Err.Clear
            VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
     
            If Err.Number <> 0 Then
                CheckError
            Else
                VendorSets.Save false, true
                CheckError
     
                If Err.Number = 0 Then
                    WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
                End If
            End If
        Else
            WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
        End If
     
    End Sub
     
    Sub CheckError()
     
        If Err.Number <> 0 Then
            WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
            Err.Clear
        End If
     
    End Sub
     
    SetValue
  3. Pe Fișier meniu, faceți clic pe Salvare ca, apoi salvați fișierul ca AllowNewlineInURL.vbs.
  4. La promptul de comandă, tastați comanda următoare, și apoi apăsați Enter:
    cscript AllowNewlineInURL.vbs
Pentru a reveni la comportamentul implicit în ISA Server 2006 Service Pack 1 pentru a bloca URL-uri care ar putea conține cererea cross-site-ul fals atacuri atunci când utiliza?i autentificarea bazată pe formulare, urmați acești pași:
  1. Porniți Notepad, și apoi deschideți script-ul AllowNewlineInURL.vbs.
  2. Localizați următoarea linie de cod în script-ul.
    Const SE_VPS_VALUE = true
    
  3. Modificați codul pentru următoarea linie:
    Const SE_VPS_VALUE = false
    
  4. Pe Fișier meniu, faceți clic pe Salvare.
  5. La promptul de comandă, tastați comanda următoare, și apoi apăsați Enter:
    cscript AllowNewlineInURL.vbs

STARE

Microsoft a confirmat că aceasta este o problemă în produsele Microsoft enumerate în secțiunea „se aplică la".

REFERINȚE

Pentru mai multe informații despre terminologia actualizare software-ul, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:
824684 Descrierea terminologie standard care este utilizat pentru a descrie actualizările software Microsoft

Proprietă?i

ID articol: 2622172 - Ultima examinare: 6 octombrie 2011 - Revizie: 1.0
SE APLICĂ LA:
  • Microsoft Internet Security and Acceleration Server 2006 Service Pack 1, când se utilizează cu:
    • Microsoft Internet Security and Acceleration Server 2006 Enterprise Edition
    • Microsoft Internet Security and Acceleration Server 2006 Standard Edition
Cuvinte cheie: 
kbfix kbqfe kbexpertiseadvanced kbsurveynew kbhotfixserver kbhotfixrollup kbmt KB2622172 KbMtro
Traducere automată
IMPORTANT: Acest articol a fost tradus de software-ul de traducere automată Microsoft, si nu de un traducător. Microsoft vă oferă atât articole traduse de persoane, cât și articole traduse automat, astfel incat aveti access la toate articolele din Baza noastră de informatii în limba dvs. materna. Totuși, un articol tradus automat nu este întotdeauna perfect. Acesta poate conține greșeli de vocabular, sintaxă sau gramatică, la fel cum un vorbitor străin poate face greșeli vorbind limba dvs. materna. Compania Microsoft nu este responsabilă pentru nici o inexactitate, eroare sau daună cauzată de traducerea necorespunzătoare a conținutului sau de utilizarea traducerii necorespunzătoare de către clienții nostri. De asemenea, Microsoft actualizează frecvent software-ul de traducere automată.
Face?i clic aici pentru a vizualiza versiunea în limba engleză a acestui articol:2622172

Trimite?i feedback

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com