IIS波浪号漏洞

我遇到了与此处提到的相同的问题修复了IIS波浪折叠漏洞，并应用了所有build议的修复：

在所有驱动器上禁用8dot3命名
从c：\ inetpub \ wwwroot中去掉8dot3个名字
fsutil＆dir / x扫描完成，找不到8dot3个名字
IIS请求过滤拒绝规则并拒绝URL

使用IIS短名称扫描器PoC工具时，我仍然遇到了易受攻击的结果：

IIS简称（8.3）扫描仪版本2.3.8（2016年2月25日） – 扫描启动2017/03/06 20:10:05

目标： https ： //website.name.com/
结果：易受攻击！
使用HTTP方法：DEBUG
后缀（魔术部分）：/a.aspx
额外的信息：
- 发送的请求数量：145

这对我来说并没有真正帮助确定问题所在，而且还是脆弱的。我正在使用的命令是：

java -jar iis_shortname_scanner.jar 2 20 https://website.name.com/

我有三个应用程序服务器坐在负载平衡器后面，但只要服务器已被修复，我不明白为什么这将有所作为….

我认为最好开始一个新的问题，因为另一个线程已经解决了，并提供了一个成功的解决scheme，但不幸的是，我不是这种情况。

通过将URL重写模块添加到每个应用程序服务器上的IIS，并使用以下命令添join站规则来解决此问题：

模式：（^ [^ \？] \〜。 \ ?. $）|（^ [^ \？] \〜。* $）
行动：中止请求

希望这有一些用处。这样做之后的扫描给了这个漏洞“不易受攻击”的结果。

对于我自己，我用我的web.config中的请求过滤拒绝序列条目：

 <system.webServer> <security> <requestFiltering> <denyUrlSequences> <add sequence="~" /> </denyUrlSequences> </requestFiltering> </security> </system.webServer>

这通过扫描仪testing我已经运行了它。