将攻击者重定向到域，但 URL 重写规则中仍然存在漏洞。如何保护我的本地主机？-解网

问：

在 IIS 中，我使用 URL 重写创建了一个规则，如果攻击者试图使用我的域名将用户定向到虚假站点，则该规则会将我的两个站点（site1.domain.com）重定向回我的域。在“本地主机”下，我有“默认网站”、“主页”、“我的网站”和“SharePoint Web 服务”。这些规则是在“主页”和“我的网站”下创建的。但是，我的漏洞评估服务器仍在填充此配置中的漏洞。当我将规则放在本地主机下的顶部时，该漏洞被删除，但没有用户可以访问这些站点。我假设我需要在默认网站和 sharepoint Web 服务下放置一个规则，但绑定未使用域名。它们使用本地主机和端口。谁能告诉我保护本地主机免受主机标头漏洞攻击的规则是什么样子的。

我尝试将规则置于本地主机下，但是启用规则后，用户无法访问站点。

IIS-6

嗨，莱克斯。该漏洞是 HTTP 主机标头值反射，我解释了我在第一句话中写的规则;如果这还不够，我深表歉意，因为这是我的第一篇帖子。我只是想简化这个问题。最后，对于那里的每个人来说，无论是您的个人计算机还是您在某个财富 500 强公司工作，都不要在公共网站上发布您的个人身份信息（PII）或敏感信息，例如这个;无论有人多么试图推动你这样做。技术人员将了解 site1 与您的实际站点名称。

答：

0赞 TengFeiXie 5/19/2023 #1

如果您需要有用的建议，请提供详细和具体的信息。

我大致明白你的意思。“请求阻止”规则模板可用于生成基于各种条件阻止传入请求的规则。可以根据 URL 路径中的特定模式或其中一个请求标头中的特定值来阻止请求。详细步骤可参考官方文档：https://learn.microsoft.com/en-us/iis/extensions/url-rewrite-module/request-blocking-rule-template。

这很有帮助。该漏洞是 HTTP 主机标头值反射，它能够操纵主机标头，如下所示： 127.0.0.1/bad_page.html 虽然我确实在默认网站和 SharePoint Web 服务上实现了请求阻止规则，但不幸的是，该漏洞仍然填充，并且能够在 localhost 之后/在 localhost 上创建一个虚假网站。

0赞 TengFeiXie 6/1/2023

请参阅此支持博客：techcommunity.microsoft.com/t5/iis-support-blog/...。

0赞 SrvrAdmin 6/14/2023

URL 重写规则，端口 80 1.打开 IIS，然后单击站点文件夹 2。选择 URL 重写 3。“操作”，添加规则 4。“空白规则” 5.名称：URL 不匹配 6.“请求的 URL”，与模式 7 匹配。“使用”，正则表达式 8.“模式”，（.*） 9.选择条件 10。选择“添加 11”。“条件输入”， {HTTP_HOST} 12.“检查输入字符串是否：”，与模式 13 不匹配。模式“， ^（[a-zA-Z0-9-_]+\.）*示例\.com $ 14.好的 15.“操作”和“操作类型：”，重定向 16。操作属性“和”重写 URL“，example.com 17。“操作”，选择应用 18。验证访问并重新扫描

0赞 SrvrAdmin 6/14/2023

我使用了之前评论中的说明，该说明可以消除漏洞;使用我们的评估服务器进行验证。但是，除非我禁用该规则，否则我无法再访问该站点。知道为什么会这样吗？

0赞 TengFeiXie 6/15/2023

我在我的网站上测试了文档中提到的重写规则，该网站可以正常访问。您可以启用 url 重写规则并启用 FRT 以查看到底发生了什么。

上一个：如何确认 IIS 是否正在使用 dotnet 6

下一个：请求标头字段对于 STS 生成的 cookie 来说太长

将攻击者重定向到域，但 URL 重写规则中仍然存在漏洞。如何保护我的本地主机？

Redirecting attacker to domain, but vulnerability in URL Rewrite rule still present. How to secure my local host?

评论

评论