Khắc phục lỗ hổng IIS dấu ngã

Một trong những máy chủ IIS của chúng tôi (IIS 7.5, Server 2008 R2) rõ ràng là "dễ bị tổn thương" đối với vấn đề tiết lộ Tên tệp ngắn .

Tuy nhiên, tôi đang có một thời gian khó khăn thực sự khắc phục vấn đề. Cho đến nay, tôi

• Đã tắt tên tệp 8.3, dừng máy chủ web, tạo lại thư mục trang web và khởi động lại dịch vụ

• Đã thêm quy tắc lọc cho dấu ngã trong URL:

• Đã thêm quy tắc lọc cho dấu ngã MỌI NƠI:

• IISRESET một đôi lần

• Đã kiểm tra web.configcó thêm quy tắc lọc có liên quan không

.. nhưng vẫn không thể để trang web của tôi vượt qua bài kiểm tra :

java -jar ~/temp/IIS-ShortName-Scanner-master/IIS_shortname_scanner.jar http://www.example.com

[...SNIP...]

Testing request method: "TRACE" with magic part: "/webresource.axd" ...
Testing request method: "DEBUG" with magic part: "" ...
Testing request method: "OPTIONS" with magic part: "" ...
Testing request method: "GET" with magic part: "" ...
Reliable request method was found = GET
Reliable magic part was found = 
144 requests have been sent to the server:

<<< The target website is vulnerable! >>>

Tôi cần làm gì khác để giải quyết vấn đề này?

EDIT: đây DIR /xdường như không hiển thị tên tập tin 8.3:

và đây là nhóm ứng dụng cho trang web (tất cả các trang web khác trên máy chủ đều giống nhau):

EDIT2 : Xác minh không còn tên tệp 8.3:

Cố gắng quét các tên tệp ngắn hiện có với fsutil:

• fsutil 8dot3name scan /s /v E:\inetpub\wwwroot

Và lột chúng nếu chúng được tìm thấy:

• fsutil 8dot3name strip /s /v E:\inetpub\wwwroot

Cũng nhìn vào nhật ký với phần ma thuật trống ( magic part: ""), tôi tự hỏi có thể đó là một lỗi trong POC. Dòng này trong config.xml có vẻ như có thêm dấu phẩy sau /webresource.axd:

<entry> key="magicFinalPartList">
 <![CDATA[\a.aspx,\a.asp,/a.aspx,/a.asp,/a.shtml,/a.asmx‌​,/a.ashx,/a.config,/a.php,/a.jpg,/webresource.axd,,/a.xxx]]>
</entry>

Tôi đã hỏi dev. thông qua Twitter về nó và anh ấy đã trả lời:

Đối với các trường hợp hiếm hoi trong đó không có phần mở rộng được yêu cầu. Nhưng, gần đây đã gây ra nhiều vấn đề hơn! Tôi sẽ xóa nó ngay bây giờ.

Tôi loại bỏ nó khỏi tập tin cấu hình. Đây là khiếu nại thứ 2 vì vậy đây là thời điểm thích hợp cho sự thay đổi này.

Vì vậy, có vẻ như bây giờ bạn đã an toàn :)

cũng "LƯU Ý: Thay đổi đối với mục đăng ký NtfsDisable8dot3NameCreation chỉ ảnh hưởng đến các tệp, thư mục và cấu hình được tạo sau khi thay đổi. Các tệp đã tồn tại không bị ảnh hưởng."

Lưu ý: Mặc dù vô hiệu hóa việc tạo tên tệp 8.3 làm tăng hiệu suất tệp trong Windows, một số ứng dụng (16 bit, 32 bit hoặc 64 bit) có thể không thể tìm thấy các tệp và thư mục có tên tệp dài.

Thật không may, cách duy nhất để thực sự đối phó với điều này là một bộ điều hướng khó chịu, tùy thuộc vào phiên bản cửa sổ của bạn, vô hiệu hóa khả năng tạo tên 8.3.

Đối với phiên bản Windows của bạn:

Để tắt chức năng tạo tên 8.3 trên tất cả các phân vùng NTFS, hãy nhập hành vi fsutil.exe đặt vô hiệu hóa 8dot3 1 tại dấu nhắc lệnh nâng cao, rồi nhấn Enter.

Nguồn: http://support.microsoft.com/kb/121007

Tôi không chính xác làm thế nào chắc chắn tập lệnh hoạt động và cách thiết lập mạng của bạn nhưng làm thế nào về việc lọc qua một cái gì đó trước máy chủ IIS (ngay cả khi nó chỉ là một thiết bị ảo trong một máy ảo)? Cụ thể, bạn thiết lập IPS với một quy tắc cụ thể giảm lưu lượng liên quan đến vấn đề cụ thể đó?