西数超哥博客
运维经验教程分享的博客

IIS请求筛选模块被配置为拒绝包含双重转义序列的请求404.11

文件目录有这样一个包含了加号的文件:2015年日历表(A4+版).pdf

现在要求下载此文件,考虑这样一个url /UploadFile/2015年日历表(A4+版).pdf

如果在浏览器访问这个url,有时候会出现404.11的错误

HTTP Error 404.11 – Not Found

请求筛选模块被配置为拒绝包含双重转义序列的请求

这是什么原因呢?

在window下,加号(+)是合法的文件名,但是在url里代表了不同的意思

参考 http://stackoverflow.com/questions/1005676/urls-and-plus-signs

若是作为queryString的一部分,那么+号代表空格

访问 https://www.baidu.com/?dd=ha+ha 和 https://www.baidu.com/?dd=ha%20ha效果是一样的,解码后,都代表了空格

 

 

 

 

但是+号作为Url component(注意不是作为queryString)时,就是+号本身,不会转义

例如 http://www.cnblogs.com/imust+2008/p/6829927.html

 

 

URL-Normalization: Full (url规范化对空格的编码)

 

1,什么是双重转义序列

双重转义字符 (例如,”abc\\d”) 对于url,+先转义为space(空格),空格再转义为%20

三个转义字符 (例如,abc\\\d)

 

2,IIS的Request Filtering机制

IIS7以及以上版本,集成了一个URLScan工具,用于扫描url,检测不安全的字符,此工具的Request Filtering模块用于过滤不安全的请求。

https://docs.microsoft.com/en-us/iis/manage/configuring-security/use-request-filtering

其中的double-encoded requests filter(双重转义过滤器),用于过滤双重转义序列。

当url出现双重转义序列时,IIS将对url进行两次url规范化(url normalization),当第一次规范化后的字符串与第二次规范化的字符串不一致时,IIS认为这是危险的url,IIS将拒绝这一请求,并返回404.11错误。

 

3,

关闭 double-encoded requests filter

<system.webServer>
<security>
<requestFiltering allowDoubleEscaping=”true”/>
</security>
</system.webServer>

赞(1) 打赏
声明:本站发布的内容(图片、视频和文字)以原创、转载和分享网络内容为主,若涉及侵权请及时告知,将会在第一时间删除。本站原创内容未经允许不得转载:西数超哥学习乐园 » IIS请求筛选模块被配置为拒绝包含双重转义序列的请求404.11

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏