URLScan Tool――过滤非法URL访问
  仔细观察IIS的漏洞,我们几乎可以得出这样一个结论,所有利用这些漏洞实现对网站攻击的手段均是构造
特殊的URL来访问网站,一般有以下几种类型的URL可以利用漏洞:
  1、特别长的URL,比如红色代码攻击网站的URL就是这样:
GET/default.idaXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u
9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u
00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a 200;
  2、特殊字符或者字符串的URL,比如在URL后面加::$DATA可以看到网页(ASP)源代码;
  3、URL中含有可执行文件名,最常见的就是有cmd.exe;
  既然这些攻击利用特殊的URL来实现,所以,微软提供了这款专门过滤非法URL的安全工具,可以达到御敌
于国门之外的效果,这款工具有以下特点和功能:
  1、基本功能:过滤非法URL请求;
  2、设定规则,辨别那些URL请求是合法的;这样,就可以针对本网站来制定专门的URL请求规则;同时,
当有新的漏洞出现时,可以更改这个规则,达到防御新漏洞的效果;
  3、程序提供一套URL请求规则,这个规则包含已经发现的漏洞利用特征,帮助管理员设置规则;
(一)、软件的下载与安装
  URLScan可以在微软的网站上下载,地址如下:
download.microsoft.com/download/iis50/Utility/1.0/NT45XP/EN-US/UrlScan.exe
  和一般软件一样安装,但是,此软件不能选择安装路径,安装完成以后,我们可以在
System32/InetSvr/URLScan目录下找到以下文件:
  urlscan.dll:动态连接库文件;
  urlscan.inf:安装信息文件;
  urlscan.txt:软件说明文件;
  urlscan.ini:软件配置文件,这个文件很只要,因为对URLScan的所有配置,均有这个文件来完成。
(二)、软件的配置
  软件的配置由urlscan.ini文件来完成,在配置此文件以前,我们需要了解一些基本知识。
 1、urlscan配置文件的构造形式
  urlscan配置文件必须遵从以下规则:
  (1)此文件名必须为urlscan.ini;
  (2)配置文件必须和urlscan.dll在同一目录;
  (3)配置文件必须是标准ini文件结构,也就是由节,串和值组成;
  (4)配置文件修改以后,必须重新启动IIS,使配置生效;
  (5)配置文件由以下各节组成:
  [Option]节,主要设置节;
  [AllowVerbs]节,配置认定为合法URL规则设定,此设定与Option节有关;
  [DenyVerbs]节,配置认定为非法URL规则设定,此设定与Option节有关;
  [DenyHeaders]节,配置认定为非法的header在设立设置;
  [AllowExtensions]节,配置认定为合法的文件扩展名在这里设置,此设定与Option节有关;
  [DenyExtensions]节,配置认定为非法的文件扩展名在这里设置,此设定与Option节有关;
  2、具体配置
  (1)Option节的配置,因为Option节的设置直接影响到以后的配置,因此,这一节的设置特别重要。此节
主要进行以下属性的设置:
  UseAllowVerbs:使用允许模式检查URL请求,如果设置为1,所有没有在[AllowVerbs]节设置的请求都被拒
绝;如果设置为0,所有没有在[DenyVerbs]设置的URL请求都认为合法;默认为1;
  UseAllowExtensions:使用允许模式检测文件扩展名;如果设置为 1,所有没在[AllowExtensions]节设置的文件扩展名均认为是非法请求
;如果设置为0,所有没在[DenyExtensions]节设置的扩展名均被认为是合法请求;默认为0;
  EnableLogging:是否允许使用Log文件,如果为1,将在urlscan.dll的相同目录设置名为urlscan.log的文件记录所有过滤;
  AllowLateScanning:允许其他URL过滤在URLScan过滤之前进行,系统默认为不允许0;
  AlternateServerName:使用服务名代替;如果此节存在而且[RemoveServerHeader]节设置为0,IIS将在这
里设置的服务器名代替默认的“Server”;
  NormalizeUrlBeforeScan:在检测URL之前规格化URL;如果为1,URLScan将在IIS编码URL之前URL进行检测,.需要提醒的是,只有管理员对
URL解析非常熟悉的情况下才可以将其设置为0;默认为1;
  VerifyNormalization:如果设置为1,UrlScan将校验URL规则,默认为1;此节设定与
NormalizeUrlBeforeScan有关;
  AllowHighBitCharacters:如果设置为1,将允许URL中存在所有字节,如果为0,含有非ASCII字符的URL将拒绝;默认为1;
  AllowDotInPath:如果设置为1,将拒绝所有含有多个“.”的URL请求,由于URL检测在IIS解析URL之前,所以,对这一检测的准确性不能
保证,默认为0;
  RemoveServerHeader:如果设置为1,将把所有应答的服务头清除,默认为0;
  (2)[AllowVerbs]节配置
  如果UseAllowVerbs设置为1,此节设置的所有请求将被允许,一般设置以下请求:
  GET、HEAD、POST
  (3)[DenyVerbs]节配置
  如果UseAllowVerbs设置为0,此节设置的所有请求将拒绝,一般设置以下请求:
  PROPFIND、PROPPATCH、MKCOL、DELETE、PUT、COPY、MOVE、LOCK、UNLOCK
  (4)[AllowExtensions]节设置
  在这一节设置的所有扩展名文件将被允许请求,一般设置以下请求:
  .asp、.htm、.html、.txt、.jpg、.jpeg、.gif,如果需要提供文件下载服务,需要增加.rar、.zip
  (5)[DenyExtensions]节设置
  在这一节设置的所有扩展名文件请求将被拒绝,根据已经发现的漏洞,我们可以在这一节增加内容,一般为以下设置:
.asa、可执行文件、批处理文件、日志文件、罕见扩展如:shtml、.printer等。