Disable OPTIONS HTTP, TRACE, HEAD, COPY và UNLOCK phương pháp trong IIS

Question

Vì lý do an ninh tôi muốn vô hiệu hóa các phương pháp đó thông qua mức độ ứng dụng vì vậy tôi có file web.config này

<configuration> 
<location path="index.php"> 
<system.webServer> 
      <directoryBrowse enabled="false" /> 
</system.webServer> 

<system.web> 
    <authorization> 
     <deny verbs="OPTIONS" users="*" /> 
     <deny verbs="TRACE" users="*" /> 
     <deny verbs="HEAD" users="*" /> 
     <deny verbs="PROPFIND" users="*" /> 
     <deny verbs="COPY" users="*" /> 
     <deny verbs="LOCK" users="*" /> 
     <deny verbs="UNLOCK" users="*" /> 
     <deny verbs="PROPPATCH" users="*" /> 
     <deny verbs="MKCOL" users="*" /> 
     <deny verbs="MOVE" users="*" /> 
     <deny verbs="DELETE" users="*" /> 
    </authorization> 
</system.web> 

nhưng điều này không làm việc bất kỳ ý tưởng nào?

Answer 1

Điều này làm việc cho tôi nhưng chỉ sau khi buộc các động từ cụ thể được xử lý bởi trình xử lý mặc định.

<system.web> 
... 
    <httpHandlers> 
    ... 
    <add path="*" verb="OPTIONS" type="System.Web.DefaultHttpHandler" validate="true"/> 
    <add path="*" verb="TRACE" type="System.Web.DefaultHttpHandler" validate="true"/> 
    <add path="*" verb="HEAD" type="System.Web.DefaultHttpHandler" validate="true"/> 

Bạn vẫn sử dụng cùng cấu hình như bạn có ở trên, nhưng cũng buộc động từ được xử lý bằng trình xử lý mặc định và được xác thực. Nguồn: http://forums.asp.net/t/1311323.aspx

Cách dễ dàng để kiểm tra chỉ là từ chối GET và xem liệu trang web của bạn có tải hay không.

Answer 2

Cuối cùng tôi đã tìm thấy câu trả lời khác cho vấn đề này. và điều này đang làm việc cho tôi. Chỉ cần thêm dữ liệu dưới đây vào tệp webconfig của bạn.

<configuration> 
<system.webServer> 
    <security> 
    <requestFiltering> 
    <verbs allowUnlisted="true"> 
    <add verb="OPTIONS" allowed="false" /> 
    </verbs> 
    </requestFiltering> 
    </security> 
</system.webServer> 
</configuration> 

Mẫu biết thêm thông tin, bạn có thể truy cập vào trang web này: http://www.iis.net/learn/manage/configuring-security/use-request-filtering

nếu bạn muốn kiểm tra trang web của bạn, là nó làm việc hay không ... Bạn có thể sử dụng "HttpRequester" mozilla firefox cắm vào. cho plugin này: https://addons.mozilla.org/En-us/firefox/addon/httprequester/

Answer 3

Đối với bất kỳ ai đang tìm kiếm tùy chọn giao diện người dùng bằng Trình quản lý IIS.

1. mở trang web trong IIS Manager
2. Go To Yêu cầu lọc và mở Yêu cầu lọc Window.
3. Chuyển đến Động từ Tab và thêm các động từ HTTP vào "Cho phép động từ ..." hoặc "Từ chối từ chối ...". Điều này cho phép thêm các động từ HTTP trong bộ sưu tập "Deny Verb ..".

Yêu cầu lọc Window trong IIS Manager

add verb ... hoặc Deny Động từ ...