Question

我们的网站从第三方工具中扫描漏洞。我的IIS发布慢HTTP问题。我正在使用IIS 7.5版

我在请求过滤的标题部分中将其内容长度设置为100，并设置了maxAllowedlenght，maxQuerystring和maxUrl，但每次扫描时仍然会出现慢速HTTP POST。

因此，请帮助我减少错误的时间或IIS的设置或我将在C＃中编写代码。

Answer 1

你得到了慢HTTP帖子问题，因为服务器允许请求通过非常缓慢的数据发送来保持很长时间。

通过设置请求限制，您已经开始了。剩下要做的是：

设置<headerLimits>以配置您的网络服务器将接受的标头的类型和大小。
调整<limits>和<WebLimits>元素的connectionTimeout，headerWaitTimeout和minBytesPerSecond属性，以最大限度地减少慢速HTTP攻击的影响。

还有一些内容可以阅读：https://community.qualys.com/blogs/securitylabs/2011/11/02/how-to-protect-against-slow-http-attacks

Answer 2

添加以下代码解决了运行PHP的Microsoft IIS Server 2016上的Qualys扫描报告150085慢HTTP POST漏洞的问题，我认为它应该在IIS 7.5上具有类似的结果。

<system.webServer>
      <security>
         <requestFiltering>
            <verbs allowUnlisted="false">
                <clear />
                <add verb="GET" allowed="true"/>
                <add verb="POST" allowed="true"/>
            </verbs>
            <requestLimits maxQueryString="1024" maxUrl="2048">
               <headerLimits>
                  <add header="Content-type" sizeLimit="100" />
               </headerLimits>
            </requestLimits>
         </requestFiltering>
      </security>
</system.webServer>

网站扫描

2 个答案: