O componente hit-highlighting do Serviço de indexação pode permitir acesso não esperado ao conteúdo de um site do IIS

Traduções deste artigo Traduções deste artigo
ID do artigo: 328832 - Exibir os produtos aos quais esse artigo se aplica.
Expandir tudo | Recolher tudo

Neste artigo

Sintomas

O componente hit-highlighting do Serviço de indexação pode retornar resultados indexados do conteúdo de um site do IIS (Internet Information Services) sem forçar o esquema de autenticação que é aplicado ao conteúdo.

Como Contornar

Como solução alternativa para o problema, use um dos seguintes métodos.

Método 1: Desinstalar o Serviço de indexação

Caso não precise do Serviço de indexação, você deve removê-lo. Para fazer isso, execute as seguintes etapas:

Observação Ao remover o Serviço de indexação, você também remove o componente hit-highlighting.
  1. No Painel de controle, clique em Adicionar ou remover programas.
  2. Clique em Adicionar/Remover Componentes do Windows e desmarque a caixa de seleção Serviço de indexação.

Método 2: Desabilitar o componente hit-highlighting

Caso você precise do Serviço de indexação mas não precise do hit-highlighting, você deve desabilitar o componente hit-highlighting. Para fazer isto, execute essas etapas, dependendo da versão do IIS que você está utilizando.
  • IIS 7,0

    Para desabilitar o hit-highlighting no IIS 7.0 quando o Serviço de indexação está instalado, execute as seguintes etapas:
    1. Inicie o Gerenciador do IIS. Para fazer isto, clique em Iniciar, em Executar, digite inetmgr e clique em OK.
    2. No painel de navegação, clique duas vezes em Restrições ISAPI e CGI.
    3. Na coluna Status, observe o status do item Serviço de indexação. Se o status está como Permitido, clique em Permitido e em Negar na janela Tarefas.
  • IIS 6.0

    Para desabilitar o hit-highlighting no IIS 6,0 quando o Serviço de indexação está instalado, execute as seguintes etapas:
    1. Inicie o Gerenciador do IIS. Para fazer isto, clique em Iniciar, em Executar, digite inetmgr e clique em OK.
    2. No painel de navegação, clique em Extensões de serviços Web.
    3. Na coluna Status, observe o status do item Serviço de indexação. Se o status está como Permitido, clique no item Serviço de indexação e clique em Proibir.
  • IIS 5.1 e IIS 5.0

    Para desabilitar o hit-highlighting no IIS 5.1 ou no IIS 5.0 quando o Serviço de indexação está instalado, execute as seguintes etapas:
    1. Instale e execute a Ferramenta Lockdown do IIS. É possível baixar a versão 2.1 da Ferramenta Lockdown do IIS a partir do Centro de Download da Microsoft.

      O seguinte arquivo está disponível para download no Centro de Download da Microsoft:
      Recolher esta imagemExpandir esta imagem
      Download
      Download the Iislockd.exe package now.
    2. Na tela Selecionar Modelo do Servidor, clique em Outro.
    3. Clique em Avançar e verifique se a caixa de seleção Serviços da Web está marcada.
    4. Clique em Avançar e verifique se a caixa de seleção Interface da Web do Servidor de indexação está marcada.
    5. Execute as instruções na tela para concluir o assistente.
    Ou, é possível desabilitar manualmente o arquivo Webhits.dll tornando-o inacessível ao IIS. Para fazer isto, execute as seguintes etapas:
    1. Interrompa o serviço W3svc. Para fazer isto, digite o seguinte comando em um prompt de comando e pressione ENTER:
      net stop w3svc
    2. Mova para a pasta que contém o arquivo Webhits.dll. Para fazer isso, digite o seguinte comando e pressione ENTER:
      cd %WINDIR%\system32
    3. Digite o seguinte comando e pressione ENTER:
      cacls webhits.dll /D Everyone
      Se for solicitado para confirmar, digite Y e pressione ENTER.
    4. Inicie o serviço W3svc. Para isso, digite o seguinte comando em um prompt de comando:
      net start w3svc

Método 3: Verificar a configuração do Serviço de indexação e do hit-highlighting

Se você precisa tanto do Serviço de indexação como do componente hit-highlighting, você deve se certificar de que os seus arquivos .htw e o seu conteúdo exigem o mesmo tipo de autenticação do IIS. Além disso, você deve se certificar de que o mapeamento de script para os arquivos .htw possui a opção Verificar se o arquivo existe ativada. Para verificar as configurações corretas de mapeamento de script, execute essas etapas, dependendo da versão do IIS que você está utilizando.
  • IIS 7.0
    1. Inicie o Gerenciador do IIS. Para fazer isto, clique em Iniciar, em Executar, digite inetmgr e clique em OK.
    2. No painel de navegação, clique duas vezes em Mapeamentos de Manipulador.
    3. Na tabela Mapeamentos de Manipulador, encontre o mapeamento para .htw. Clique duas vezes no mapeamento.
    4. Clique em Restrições da Solicitação.
    5. Clique em Invocar manipulador somente se as solicitações estiverem mapeadas para e certifique-se de que Arquivo está selecionado.
    6. Clique em OK duas vezes.
  • IIS 6.0, IIS 5.1 e IIS 5.0
    1. No snap-in MMC do IIS, clique com o botão direito do mouse no site da Web e clique em Propriedades.
    2. Clique na guia Diretório Principal e clique em Configuração.
    3. Na caixa de diálogo Configuração do aplicativo, clique no mapeamento para .htw e em Editar.
    4. Verifique se a caixa de seleção Verificar se o arquivo existe está marcada e clique em OK.

      Observação No IIS 6.0, esta caixa de seleção se chama Verificar se o arquivo existe.
    5. Verifique se as configurações de autenticação do IIS para o seu conteúdo são as mesmas que as configurações de autenticação dos seus arquivos .htw.

Situação

A Microsoft confirmou que este é um problema nos produtos Microsoft que estão listados na seção "Aplica-se a".

Mais Informações

O componente hit-highlighting é uma parte do Serviço de indexação que funciona com o IIS para retornar conteúdo indexado a partir de um site da Web. Ao acessar o URL a ser indexado, o componente hit-highlighting faz isso acessando diretamente o conteúdo para o URL em vez de fazer uma nova solicitação através do IIS. Por causa disso, qualquer autenticação específica do IIS não é aplicada ao URL que é indexado pelo componente hit-highlighting.

Um navegador da Web pode solicitar conteúdo indexado fazendo uma solicitação a um arquivo .htw em um site da Web e especificando o URL a ser indexado. Se a autenticação do IIS é desejada para o conteúdo indexado, a autenticação deve ser configurada no arquivo .htw e também no conteúdo atual. O hit-highlighting inclui um arquivo .htw especial interno chamado Null.htw. Este é um arquivo virtual e na verdade não existe no disco. Uma vez que este arquivo não existe, não é possível configurar o IIS para forçar a autenticação neste arquivo. Para evitar que o arquivo Null.htw retorne conteúdo indexado, é necessário configurar o mapeamento de script do IIS para .htw de forma que o mapeamento use o recurso "Verificar se o arquivo existe".

A tabela seguinte resume a disponibilidade padrão do componente hit-highlighting em várias versões do IIS.
Recolher esta tabelaExpandir esta tabela
VersãoServiço de indexaçãoHit-highlighting
IIS 7.0Não instaladaDesabilitado quando o Serviço de indexação é instalado
IIS 6.0InstaladoInstalado mas desabilitado
IIS 5.1Não instaladaNão instalada
IIS 5.0InstaladoInstalado e habilitado
Reconhecimento: João Gouveia da Telecel-Vodafone e John Omernik contribuíram com este artigo da Base de Dados de Conhecimento Microsoft.

Mais Informações

Para obter mais informações sobre a estabilização do IIS 5.0, visite o seguinte site do Microsoft TechNet (em inglês):
http://www.microsoft.com/technet/archive/security/chklist/iis50srg.mspx
Para obter mais informações sobre como tornar um Servidor Web mais seguro, visite o seguinte site do MSDN (em inglês):
http://msdn2.microsoft.com/En-US/library/aa302432.aspx

Propriedades

ID do artigo: 328832 - Última revisão: terça-feira, 8 de abril de 2008 - Revisão: 6.2
A informação contida neste artigo aplica-se a:
  • Microsoft Internet Information Services 7.0
  • Microsoft Internet Information Services 6.0
  • Microsoft Internet Information Services 5.0
  • Microsoft Index Server 2.0
Palavras-chave: 
kbexpertiseadvanced kbtshoot kbprb KB328832

Submeter comentários

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com