Samenvatting
Met Microsoft-beveiligingsupdate MS11-100 wordt het maximumaantal formuliervelden, bestanden en JSON-leden in een HTTP-verzoek beperkt tot 1000. Door deze wijziging worden verzoeken met meer dan 1000 van dergelijke elementen door ASP.NET-toepassingen geweigerd. HTTP-clients waarop dit soort verzoeken worden gedaan, worden geweigerd, en er wordt een foutbericht in de webbrowser weergegeven. Het foutbericht heeft meestal de statuscode HTTP 500. Deze nieuwe limiet kan per toepassing worden ingesteld. Zie de sectie Oplossing voor configuratie-instructies.
Symptomen
De server reageert met een foutbericht op ASP.NET-verzoeken met veel formuliervelden, bestanden of JSON-nettoladingen. Het toepassingslogboek op de server bevat een waarschuwing met als Bron een specifieke ASP.NET-versie, en gebeurtenis-id 1309. Het gebeurtenislogboek bevat een van de volgende berichten:
Bericht 1:
Toepassingsinformatie: Toepassingsdomein: /LM/W3SVC/1/ROOT/<Toepassingsdomein>Vertrouwensniveau: Normaal Virtueel pad naar toepassing: <Virtueel toepassingspad>Pad naar toepassing: <Toepassingspad>Machinenaam: <Machinenaam>Procesinformatie: Proces-id: 0001 Procesnaam: w3wp.exe Accountnaam: IIS APPPOOL\DefaultAppPool Uitzonderingsinformatie: Uitzonderingstype: HttpException Uitzonderingsbericht: De formuliergegevens met URL-codering zijn ongeldig. op System.Web.HttpRequest.FillInFormCollection()op System.Web.HttpRequest.get_Form()op System.Web.HttpRequest.get_HasForm()op System.Web.UI.Page.GetCollectionBasedOnMethod(Boolean dontReturnNull)op System.Web.UI.Page.DeterminePostBackMode()op System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
Bericht 2:
Toepassingsinformatie: Toepassingsdomein: /LM/W3SVC/1/ROOT/<Toepassingsdomein> Vertrouwensniveau: Normaal Virtueel pad naar toepassing: <Virtueel toepassingspad> Pad naar toepassing: <Toepassingspad> Machinenaam: <Machinenaam>Procesinformatie: Proces-id: 0001Procesnaam: w3wp.exe Accountnaam: IIS APPPOOL\DefaultAppPool Uitzonderingsinformatie: Uitzonderingstype: InvalidOperationException Uitzonderingsbericht: De bewerking is ongeldig vanwege de huidige staat van het object. op System.Web.HttpRequest.FillInFilesCollection()op System.Web.HttpRequest.get_Files()op FileUpload.Page_Load(Object sender, EventArgs e) op System.Web.Util.CalliHelper.EventArgFunctionCaller(IntPtr fp, Object o, Object t, EventArgs e)op System.Web.Util.CalliEventHandlerDelegateProxy.Callback(Object sender, EventArgs e)op System.Web.UI.Control.OnLoad(EventArgs e)op System.Web.UI.Control.LoadRecursive()op System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint
Bericht 3:
Toepassingsinformatie:Toepassingsdomein: /LM/W3SVC/1/ROOT/<Toepassingsdomein> Vertrouwensniveau: Normaal Virtueel pad naar toepassing: <Virtueel toepassingspad> Pad naar toepassing: <Toepassingspad>Machinenaam: <Machinenaam>Procesinformatie: Proces-id: 0001Procesnaam: w3wp.exe Accountnaam: IIS APPPOOL\DefaultAppPool Uitzonderingsinformatie: Uitzonderingstype: InvalidOperationException Uitzonderingsbericht: De bewerking is ongeldig vanwege de huidige staat van het object. op System.Web.Script.Serialization.JavaScriptObjectDeserializer.DeserializeDictionary(Int32 depth)op System.Web.Script.Serialization.JavaScriptObjectDeserializer.DeserializeInternal(Int32 depth)op System.Web.Script.Serialization.JavaScriptObjectDeserializer.BasicDeserialize(String input, Int32 depthLimit, JavaScriptSerializer serializer)op System.Web.Script.Serialization.JavaScriptSerializer.Deserialize(JavaScriptSerializer serializer, String input, Type type, Int32 depthLimit)op System.Web.Script.Serialization.JavaScriptSerializer.DeserializeObject(String input)op Failing.Page_Load(Object sender, EventArgs e) op System.Web.Util.CalliHelper.EventArgFunctionCaller(IntPtr fp, Object o, Object t, EventArgs e)op System.Web.Util.CalliEventHandlerDelegateProxy.Callback(Object sender, EventArgs e)op System.Web.UI.Control.OnLoad(EventArgs e)op System.Web.UI.Control.LoadRecursive()op System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
Het IIS-logboekbestand bevat een vermelding die lijkt op de volgende:
2011-01-01 00:00:00 ::1 POST /machine/default.aspx - 80 - ::1 - 500 0 0 187
Oorzaak
Met de Microsoft-beveiligingsupdate van beveiligingsbulletin MS11-100 wordt het standaard maximumaantal formuliervelden, bestanden en JSON-leden dat door ASP.NET in een verzoek wordt geaccepteerd, gewijzigd in 1000. Deze wijziging is aangebracht om het Denial-of-Service-beveiligingsprobleem op te lossen dat in Microsoft-beveiligingsbulletin MS11-100 is beschreven.
Oplossing
Voor toepassingen waarin het maximumaantal formuliervelden of bestanden wordt bereikt, kan de ASP.NET-appSetting aspnet:MaxHttpCollectionKeys worden gewijzigd, zoals hieronder wordt getoond in een configuratiebestand van een ASP.NET-toepassing. Met deze instelling worden foutbericht 1 en foutbericht 2 uit de sectie Symptomen opgelost.
<configuration><appSettings><add key="aspnet:MaxHttpCollectionKeys" value="1000" /></appSettings></configuration>
Opmerking Als u ASP.NET 1.1 gebruikt op een x86-systeem, past u de instelling aan door een DWORD-waarde aan de volgende registersleutel toe te voegen:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\1.1.4322.0\MaxHttpCollectionKeys
Als u ASP.NET 1.1 gebruikt op een x64-systeem, past u de instelling aan door een DWORD-waarde aan de volgende registersleutel toe te voegen:
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\ASP.NET\1.1.4322.0\MaxHttpCollectionKeys
Voor toepassingen waarin het maximumaantal JSON-nettoladingen wordt bereikt, kan de ASP.NET-appSetting aspnet:MaxJsonDeserializerMembers worden gewijzigd, zoals hieronder wordt getoond in een configuratiebestand van een ASP.NET-toepassing. Met deze instelling wordt foutbericht 3 uit de sectie Symptomen opgelost.
<configuration><appSettings><add key="aspnet:MaxJsonDeserializerMembers" value="1000" /></appSettings></configuration>
Opmerking Als u deze waarde boven de standaardinstelling instelt, wordt uw server kwetsbaarder voor het Denial of Service-beveiligingsprobleem dat is beschreven in beveiligingsbulletin MS11-100.
Referenties
Raadpleeg het volgende TechNet-artikel voor meer informatie over beveiligingsbulletin MS11-100:
Microsoft-beveiligingsbulletin MS11-100 - Kritiek Klik voor meer informatie op het volgende artikelnummer in de Microsoft Knowledge Base:
2638420 MS11-100: Beveiligingsprobleem in .NET Framework kan leiden tot uitbreiding van bevoegdheden: 29.12.11
