Ringkasan
Microsoft pembaruan keamanan MS11-100 batas jumlah maksimum formulir kunci, berkas, dan JSON anggota 1000 permintaan HTTP. Karena perubahan ini, aplikasi ASP.NET menolak permintaan yang memiliki lebih dari 1000 elemen ini. Klien HTTP yang membuat jenis permintaan akan ditolak, dan pesan galat akan ditampilkan di web browser. Pesan galat yang biasanya akan memiliki kode status HTTP 500. Batas ini baru dapat dikonfigurasi secara per aplikasi. Silakan lihat bagian "Pemecahan masalah" untuk petunjuk konfigurasi.
Gejala
Permintaan ASP.NET yang memiliki banyak bentuk kunci, berkas, atau beban JSON menerima respons galat dari server. Log aplikasi di server memiliki entri peringatan dengan sumber yang khusus versi ASP.NET, dan peristiwa ID 1309. Log peristiwa berisi salah satu pesan berikut ini:
Pesan 1:
Aplikasi informasi: aplikasi domain: / LM/W3SVC/1/ROOT/< Domain aplikasi > tingkat kepercayaan: media aplikasi Virtual jalur: < VDIR jalur > aplikasi jalur: nama < aplikasi jalur > Mesin: < nama mesin > proses informasi: ID proses: Nama proses 0001: nama akun w3wp.exe: IIS APPPOOL\DefaultAppPool pengecualian informasi: jenis pengecualian: pesan pengecualian HttpException: disandikan URL formulir data tidak valid. di (System.Web.HttpRequest.FillInFormCollection) di (System.Web.HttpRequest.get_Form) di (System.Web.HttpRequest.get_HasForm) di System.Web.UI.Page.GetCollectionBasedOnMethod (Boolean dontReturnNull) di (System.Web.UI.Page.DeterminePostBackMode) di System.Web.UI.Page.ProcessRequestMain (Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
Pesan 2:
Aplikasi informasi: aplikasi domain: / LM/W3SVC/1/ROOT/< Domain aplikasi > tingkat kepercayaan: media aplikasi Virtual jalur: < VDIR jalur > aplikasi jalur: nama < aplikasi jalur > Mesin: < nama mesin > proses informasi: ID proses: Nama 0001Process: nama akun w3wp.exe: IIS APPPOOL\DefaultAppPool pengecualian informasi: jenis pengecualian: pesan pengecualian InvalidOperationException: operasi ini tidak berlaku pada status dari objek. di (System.Web.HttpRequest.FillInFilesCollection) di (System.Web.HttpRequest.get_Files) di FileUpload.Page_Load (Object sender, EventArgs e) di System.Web.Util.CalliHelper.EventArgFunctionCaller (IntPtr fp objek o, objek t, EventArgs e) di System.Web.Util.CalliEventHandlerDelegateProxy.Callback (Object sender, EventArgs e) di System.Web.UI.Control.OnLoad (EventArgs e) di (System.Web.UI.Control.LoadRecursive) di System.Web.UI.Page.ProcessRequestMain (Boolean includeStagesBeforeAsyncPoint
Pesan 3:
Aplikasi informasi: aplikasi domain: / LM/W3SVC/1/ROOT/< Domain aplikasi > tingkat kepercayaan: media aplikasi Virtual jalur: < VDIR jalur > aplikasi jalur: nama < aplikasi jalur > Mesin: < nama mesin > proses informasi: ID proses: Nama 0001Process: nama akun w3wp.exe: IIS APPPOOL\DefaultAppPool pengecualian informasi: jenis pengecualian: pesan pengecualian InvalidOperationException: operasi ini tidak berlaku pada status dari objek. di System.Web.Script.Serialization.JavaScriptObjectDeserializer.DeserializeDictionary (Int32 kedalaman) di System.Web.Script.Serialization.JavaScriptObjectDeserializer.DeserializeInternal (Int32 kedalaman) di System.Web.Script.Serialization.JavaScriptObjectDeserializer.BasicDeserialize (String input, Int32 depthLimit, JavaScriptSerializer serializer) di System.Web.Script.Serialization.JavaScriptSerializer.Deserialize (JavaScriptSerializer serializer String input, jenis jenis, Int32 depthLimit) pada System.Web.Script.Serialization.JavaScriptSerializer.DeserializeObject (String input) di Failing.Page_Load (Object sender, EventArgs e) di System.Web.Util.CalliHelper.EventArgFunctionCaller (IntPtr fp objek o, objek t, EventArgs e) di System.Web.Util.CalliEventHandlerDelegateProxy.Callback (Object sender, EventArgs e) di System.Web.UI.Control.OnLoad (EventArgs e) di (System.Web.UI.Control.LoadRecursive) di System.Web.UI.Page.ProcessRequestMain (Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
Berkas log IIS menampilkan entri yang menyerupai berikut ini:
/Machine/default.aspx 2011-01-01 00:00:00:: 1 POST - 80 -:: 1-500 0 0 187
Penyebab
Pembaruan keamanan Microsoft buletin keamanan MS11-100 alamat perubahan asali jumlah maksimum formulir kunci, berkas, dan anggota JSON yang ASP.NET akan menerima permintaan untuk 1000. Perubahan ini dibuat untuk mengatasi kerentanan penyangkalan layanan Microsoft security buletin MS11-100 dokumen.
Pemecahan Masalah
Aplikasi yang mencapai batas untuk formulir kunci atau berkas dapat mengubah ASP.NET appSetting aspnet:MaxHttpCollectionKeys, seperti yang ditunjukkan di bawah ini pada file konfigurasi aplikasi ASP.NET. Pengaturan ini membahas galat pesan kesalahan 1 dan pesan 2 dari bagian "gejala" bagian.
<configuration><appSettings><add key="aspnet:MaxHttpCollectionKeys" value="1000" /></appSettings></configuration>
Catatan Jika Anda menggunakan ASP.NET 1.1 pada sistem berbasis x86, pengaturan yang disesuaikan dengan menambahkan nilai DWORD ke kunci registri berikut ini:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\1.1.4322.0\MaxHttpCollectionKeys
Jika Anda menggunakan ASP.NET 1.1 pada sistem berbasis x64, pengaturan yang disesuaikan dengan menambahkan nilai DWORD ke kunci registri berikut ini:
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\ASP.NET\1.1.4322.0\MaxHttpCollectionKeys
Aplikasi yang mencapai batas untuk JSON beban dapat mengubah ASP.NET appSetting aspnet:MaxJsonDeserializerMembers, seperti yang ditunjukkan di bawah ini pada file konfigurasi aplikasi ASP.NET. Pengaturan ini membahas kesalahan pesan 3 dari bagian "gejala" bagian.
<configuration><appSettings><add key="aspnet:MaxJsonDeserializerMembers" value="1000" /></appSettings></configuration>
Catatan Menaikkan nilai ini di atas meningkatkan pengaturan default kerentanan server Anda untuk kerentanan Denial of Service yang dibahas dalam buletin keamanan MS11-100.
Referensi
Untuk informasi selengkapnya tentang buletin keamanan MS11-100, lihat artikel TechNet berikut:
Microsoft Security buletin MS11-100 - pentingUntuk informasi selengkapnya, klik nomor artikel berikut untuk melihat artikel di Pangkalan Pengetahuan Microsoft:
2638420 MS11-100: Kerentanan dalam .NET Framework dapat memungkinkan hak khusus: 29 Desember 2011
