文章编号: 326444 - 最后修改: 2007年3月14日 - 修订: 5.3 如何配置 URLScan 工具
我们强烈建议所有运行 Microsoft Windows Server 2003 的用户将 Microsoft Internet
信息服务 (IIS) 升级到 6.0 版，因为 IIS 6.0 显著增强了 Web 基础结构的安全性。有关与 IIS 安全性相关的主题的更多信息，请访问下面的
Microsoft 网站： http://www.microsoft.com/technet/security/prodtech/IIS.mspx
(http://www.microsoft.com/technet/security/prodtech/IIS.mspx)
本页概要 本文分步说明如何配置 URLScan 工具以防止 Web 服务器受到攻击和利用。 安装 URLScan要安装 URLScan，请访问下面的 Microsoft Developer Network (MSDN) 网站：http://msdn2.microsoft.com/en-us/library/aa302368.aspx
(http://msdn2.microsoft.com/en-us/library/aa302368.aspx)
有关其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章： 307608?
(http://support.microsoft.com/kb/307608/
)
对 IIS 使用 URLScan
修改 URLScan.ini 文件URLScan 的所有配置都是通过 URLScan.ini 文件执行的，此文件位于 %WINDIR%\System32\Inetsrv\URLscan 文件夹中。要配置 URLScan，请在文本编辑器（如记事本）中打开此文件，进行相应的更改，然后保存此文件。注意：要使更改生效，必须重新启动 Internet 信息服务 (IIS)。一种快速的实现方法是在命令提示符处运行 IISRESET。 URLScan.ini 文件包含以下几节：
[Options] 节在 [Options] 节中，可以配置许多 URLScan 选项。此节中的每一行都具有以下格式：OptionName=OptionValue 可用选项及其默认值如下所示：
[AllowVerbs] 节和 [DenyVerbs] 节[AllowVerbs] 节和 [DenyVerbs] 节定义 URLScan 允许的 HTTP 谓词（又称作方法）。常用的 HTTP 谓词包括 GET、POST、HEAD 和 PUT。其他应用程序（如 FPSE 和 Web 分布式创作和版本控制 (WebDAV)）使用更多的谓词。[AllowVerbs] 节和 [DenyVerbs] 节的语法相同。它们由 HTTP 谓词列表组成，每个谓词占一行。 URLScan 根据 [Options] 节中 UseAllowVerbs 选项的值来决定使用哪一节。默认情况下，此选项设置为 1。如果将 UseAllowVerbs 设置为 1，则 URLScan 仅允许那些使用 [AllowVerbs] 节中列出的谓词的请求。不使用任何这些谓词的请求将被拒绝。在这种情况下，[DenyVerbs] 节被忽略。 如果将 UseAllowVerbs 设置为 0，则 URLScan 拒绝那些使用 [DenyVerbs] 节中明确列出的谓词的请求。允许任何使用未在此节中出现的谓词的请求。在这种情况下，URLScan 忽略 [AllowVerbs] 节。 [DenyHeaders] 节当客户机向 Web 服务器请求页面时，它通常会发送一些包含有关此请求的其他信息的 HTTP 标头。常见的 HTTP 标头包括：
在 [DenyHeaders] 节中，您定义 URLScan 将拒绝的 HTTP 标头。如果 URLScan 收到的请求中包含此节中列出的任何标头，它将拒绝该请求。此节由 HTTP 标头列表组成，每个标头占一行。标头名后面必须跟一个冒号 (:)（例如 Header-Name:）。 [AllowExtensions] 节和 [DenyExtensions] 节大多数文件都有一个标识其文件类型的文件扩展名。例如，Word 文档的文件名一般以 .doc 结束，HTML 文件名一般以 .htm 或 .html 结束，纯文本文件名一般以 .txt 结束。[AllowExtensions] 节和 [DenyExtensions] 节允许您定义 URLScan 将禁止的扩展名。例如，您可以配置 URLScan 以拒绝对 .exe 文件的请求，防止 Web 用户在您的系统上执行应用程序。[AllowExtensions] 节和 [DenyExtensions] 节的语法相同。它们由文件扩展名列表组成，每个扩展名占一行。扩展名以句点 (.) 开头（例如 .ext）。 URLScan 根据 [Options] 节中 UseAllowExtensions 的值来决定使用哪一节。默认情况下，此选项设置为 0。如果将 UseAllowExtensions 设置为 0，则 URLScan 仅拒绝对 [DenyExtensions] 节中列出的文件扩展名的请求。允许此节中未列出的任何文件扩展名。[AllowExtensions] 节被忽略。 如果将 UseAllowExtensions 设置为 1，则 URLScan 拒绝对 [AllowExtensions] 节中未明确列出的任何文件扩展名的请求。仅允许对此节中列出的文件扩展名的请求。[DenyExtensions] 节被忽略。 有关如何配置 URLScan 以允许对没有扩展名的文件的请求的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章： 312376?
(http://support.microsoft.com/kb/312376/
)
如何配置 URLScan 以在 IIS 中允许使用空扩展名的请求
[DenyUrlSequences] 节可以配置 URLScan 以禁止那些 URL 中包含某些字符序列的请求。例如，可以禁止那些包含两个连续句点 (..) 的请求，利用目录遍历漏洞的攻击中经常采用这种手段。要指定一个想要禁止的字符序列，请将此序列单独放在 [DenyUrlSequences] 节中的一行上。请注意，添加字符序列可能会对 Microsoft Exchange 的 Outlook Web Access (OWA) 产生负面影响。当您从 OWA 打开一个邮件时，该邮件的主题行包含在服务器所请求的 URL 中。由于 URLScan.ini 文件禁止任何包含百分号 (%) 和连字符 (&) 的请求，因此，当用户尝试打开主题行为“Sales increase by 100%”或“Bob & Sue are coming to town”的邮件时，会收到 404 错误信息。要解决此问题，可以从 [DenyUrlSequences] 节中删除这些序列。请注意，这样做会降低安全性，因为它有可能允许危险的请求到达服务器。 有关其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章： 325965?
(http://support.microsoft.com/kb/325965/
)
URLScan 工具可能会导致 Outlook Web Access 中出现问题
配置 URLScan 用于依赖于 IIS 的应用程序Exchange、FPSE 和 Microsoft Visual Studio .NET 这类应用程序的正常运行依赖于 IIS。如果没有正确配置 URLScan，这些应用程序可能会停止正常运行。有关如何配置 URLScan 用于这些应用程序的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章： 309508?
(http://support.microsoft.com/kb/309508/
)
Exchange 环境中的 IIS 锁定和 URLscan 配置
309394?
(http://support.microsoft.com/kb/309394/
)
如何协同使用 URLScan 和 FrontPage 2000
318290?
(http://support.microsoft.com/kb/318290/
)
如何协同使用 URLScan 和 FrontPage 2002
310588?
(http://support.microsoft.com/kb/310588/
)
PRB：安全工具包中止 Visual Studio .NET 中的 ASP.NET 调试
参考
Microsoft和/或其各供应商对于为任何目的而在本服务器上发布的文件及有关图形所含信息的适用性，不作任何声明。 所有该等文件及有关图形均"依样"提供，而不带任何性质的保证。Microsoft和/或其各供应商特此声明，对所有与该等信息有关的保证和条件不负任何责任，该等保证和条件包括关于适销性、符合特定用途、所有权和非侵权的所有默示保证和条件。在任何情况下，在由于使用或运行本服务器上的信息所引起的或与该等使用或运行有关的诉讼中，Microsoft和/或其各供应商就因丧失使用、数据或利润所导致的任何特别的、间接的、衍生性的损害或任何因使用而丧失所导致的之损害、数据或利润不负任何责任。 | 其他资源 其他帮助资源社区或论坛马上获得帮助文章翻译
|
回到顶端
