Negar Sequências de URL <denyUrlSequences>

Artigo
03/25/2024

Visão geral

O elemento <denyUrlSequences> contém uma coleção de elementos <add> que especificam as sequências de caracteres de URL que o IIS negará, o que ajuda a evitar ataques baseados em URL no servidor Web.

Por exemplo, o uso de dois pontos em uma URL ("..") instruirá um servidor a processar a URL no próximo diretório superior, mas também pode indicar que um invasor está tentando obter acesso a áreas fora da área de conteúdo. O bloqueio desse padrão de caracteres removerá essa chance de um invasor conseguir explorar essa sequência de URL.

Observação

Quando a filtragem de solicitações bloquear uma solicitação HTTP devido a uma sequência de URL negada, o IIS 7 retornará um erro HTTP 404 ao cliente e registrará o seguinte status HTTP com um substatus exclusivo que identificará o motivo pelo qual a solicitação foi negada:

Substatus HTTP	Descrição
`404.5`	Sequência de URL negada

Esse substatus permite que os administradores Web analisem seus logs do IIS e identifiquem possíveis ameaças.

Observação

A partir do IIS 7.5, você pode substituir as sequências de URL na coleção <denyUrlSequences> adicionando sequências de URL à coleção <alwaysAllowedUrls>.

Compatibilidade

Versão	Observações
IIS 10.0	O elemento `<denyUrlSequences>` não foi modificado no IIS 10.0.
IIS 8.5	O elemento `<denyUrlSequences>` não foi modificado no IIS 8.5.
IIS 8.0	O elemento `<denyUrlSequences>` não foi modificado no IIS 8.0.
IIS 7.5	O elemento `<denyUrlSequences>` não foi modificado no IIS 7.5. Observação: o IIS 7.5 permite substituir as sequências de URL no elemento `<denyUrlSequences>` adicionando sequências de URL à coleção `<alwaysAllowedUrls>`.
IIS 7.0	O elemento `<denyUrlSequences>` da coleção `<requestFiltering>` foi introduzido no IIS 7.0.
IIS 6,0	O elemento `<denyUrlSequences>` substitui os recursos do IIS 6.0 UrlScan [DenyUrlSequences].

Instalação

A instalação padrão do IIS 7 e versões posteriores inclui o serviço ou recurso de função Filtragem de Solicitações. Se o serviço ou recurso de função Filtragem de Solicitações for desinstalado, você poderá reinstalá-lo usando as etapas a seguir.

Windows Server 2012 R2 ou Windows Server 2012

Na barra de tarefas, clique em Gerenciador do Servidor.
No Gerenciador do Servidor, clique no menu Gerenciar e clique em Adicionar Funções e Recursos.
No assistente Adicionar Funções e Recursos, clique em Avançar. Selecione o tipo de instalação e clique em Avançar. Selecione o servidor de destino e clique em Avançar.
Na página Funções de Servidor, expanda Servidor Web (IIS), Servidor Web, expanda Segurança e selecione Filtragem de Solicitações. Clique em Avançar.
.
Na página Selecionar recursos, clique em Avançar.
Na página Confirmar seleções de instalação, clique em Instalar.
Na página Resultados , clique em Fechar.

Windows 8 ou Windows 8.1

Na tela Iniciar, mova o ponteiro até o canto inferior esquerdo, clique com o botão direito do mouse no botão Iniciar e clique em Painel de Controle.
Em Painel de Controle, clique em Programas e Recursos e clique em Ativar ou desativar recursos do Windows.
Expanda Serviços de Informações da Internet, expanda Serviços da World Wide Web, expanda Segurança e, em seguida, selecione Filtragem de Solicitações.
Clique em OK.
Clique em Fechar.

Windows Server 2008 R2 ou Windows Server 2008

Na barra de tarefas, clique em Iniciar, vá para Ferramentas Administrativas e clique em Gerenciador do Servidor.
No painel de hierarquia do Gerenciador do Servidor, expanda Funções e clique em Servidor Web (IIS).
No painel Servidor Web (IIS), role até a seção Serviços de Função e clique em Adicionar Serviços de Função.
Na página Selecionar Serviços de Função do Assistente para Adicionar Serviços de Função, selecione Filtragem de Solicitações e clique em Avançar.
Na página Confirmar Seleções de Instalação, clique em Instalar.
Na página Resultados , clique em Fechar.

Windows Vista ou Windows 7

Na barra de tarefas, clique em Iniciar e, depois, em Painel de Controle.
Em Painel de Controle, clique em Programas e Recursos e clique em Ativar ou desativar Recursos do Windows.
Expanda Serviços de Informações da Internet e, em seguida, Serviços World Wide Web e, em seguida, Segurança.
Selecione Filtragem de Solicitações e clique em OK.

Instruções

Observação para usuários dos IIS 7.0: algumas etapas nesta seção podem exigir que você instale o Microsoft Administration Pack para IIS 7.0, que inclui uma interface do usuário para filtragem de solicitações. Para instalar o Microsoft Administration Pack para IIS 7.0, consulte a seguinte URL:

https://www.iis.net/expand/AdministrationPack

Como negar uma sequência de URL

Abra o Gerenciador dos Serviços de Informações da Internet (IIS):
- Caso você esteja usando o Windows Server 2012 ou o Windows Server 2012 R2:
  - Na barra de tarefas, clique em Gerenciador do Servidor, em Ferramentas e em Gerenciador dos Serviços de Informações da Internet (IIS).
- Se você estiver usando o Windows 8 ou Windows 8.1:
  - Mantenha pressionada a tecla Windows, pressione a letra X e clique em Painel de Controle.
  - Clique em Ferramentas Administrativas e clique duas vezes em Gerenciador dos Serviços de Informações da Internet (IIS).
- Caso você esteja usando o Windows Server 2008 ou o Windows Server 2008 R2:
  - Na barra de tarefas, clique em Iniciar, vá para Ferramentas Administrativas e clique em Gerenciador dos Serviços de Informações da Internet (IIS).
- Se você estiver usando o Windows Vista ou Windows 7:
  - Na barra de tarefas, clique em Iniciar e, depois, em Painel de Controle.
  - Clique duas vezes em Ferramentas Administrativas e clique duas vezes em Gerenciador dos Serviços de Informações da Internet (IIS).
No painel Conexões, acesse a conexão, o site, o aplicativo ou o diretório para o qual você deseja modificar as configurações de filtragem de solicitações.
No painel Página Inicial, clique duas vezes em Filtragem de Solicitações.
No painel Filtragem de Solicitações, clique na guia Negar Sequências de URL e clique em Adicionar Sequência de URL... no painel Ações.
Na caixa de diálogo Adicionar Sequência de Negação, insira a sequência de URL que você deseja bloquear e clique em OK.

Por exemplo, para evitar a transversalidade do diretório no servidor, insira dois pontos ("..") na caixa de diálogo.

Configuração

O elemento <denyUrlSequences> do elemento <requestFiltering> é configurado no nível de site, aplicativo ou diretório.

Atributos

Nenhum.

Elementos filho

Elemento	Descrição
`add`	Elemento opcional. Adiciona uma sequência à coleção de sequências de URL negadas.
`clear`	Elemento opcional. Remove todas as referências a sequências da coleção `<denyUrlSequences>`.
`remove`	Elemento opcional. Remove uma referência a uma sequência da coleção `<denyUrlSequences>`.

Exemplo de configuração

O arquivo Web.config de exemplo a seguir negará acesso a três sequências de URL. A primeira sequência impede o diretório transversal, a segunda sequência impede o acesso a fluxos de dados alternativos e a terceira sequência impede que barras invertidas sejam usadas em URLs.

<configuration>
   <system.webServer>
      <security>
         <requestFiltering>
            <denyUrlSequences>
               <add sequence=".." />
               <add sequence=":" />
               <add sequence="\" />
            </denyUrlSequences>
         </requestFiltering>
      </security>
   </system.webServer>
</configuration>

O exemplo a seguir ilustra uma combinação de um elemento <denyUrlSequences> e um elemento <alwaysAllowedUrls> que negará quaisquer URLs se elas contiverem uma das duas sequências de caracteres específicas, mas sempre permitirá uma URL específica que contenha essas duas sequências de caracteres específicas em uma ordem específica.

<system.webServer>
   <security>
      <requestFiltering>
         <denyUrlSequences>
            <add sequence="bad" />
            <add sequence="sequence" />
         </denyUrlSequences>
         <alwaysAllowedUrls>
            <add url="/bad_sequence.txt" />
         </alwaysAllowedUrls>
      </requestFiltering>
   </security>
</system.webServer>

Exemplo de código

Os exemplos de código a seguir demonstram como negar acesso a três sequências de URL para o Site Padrão: transversais de diretório (".."), fluxos de dados alternativos (":") e barras invertidas ("").

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"denyUrlSequences.[sequence='..']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"denyUrlSequences.[sequence=':']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"denyUrlSequences.[sequence='\']"

PowerShell

Start-IISCommitDelay

$denyUrlSequences = Get-IISConfigSection -CommitPath 'Default Web Site' -SectionPath 'system.webServer/security/requestFiltering' | Get-IISConfigCollection -CollectionName 'denyUrlSequences'

New-IISConfigCollectionElement -ConfigCollection $denyUrlSequences -ConfigAttribute @{ 'sequence' = '..' }
New-IISConfigCollectionElement -ConfigCollection $denyUrlSequences -ConfigAttribute @{ 'sequence' = ':' }
New-IISConfigCollectionElement -ConfigCollection $denyUrlSequences -ConfigAttribute @{ 'sequence' = '\' }

Stop-IISCommitDelay

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetWebConfiguration("Default Web Site");

         ConfigurationSection requestFilteringSection = config.GetSection("system.webServer/security/requestFiltering");

         ConfigurationElementCollection denyUrlSequencesCollection = requestFilteringSection.GetCollection("denyUrlSequences");

         ConfigurationElement addElement = denyUrlSequencesCollection.CreateElement("add");
         addElement["sequence"] = @"..";
         denyUrlSequencesCollection.Add(addElement);

         ConfigurationElement addElement1 = denyUrlSequencesCollection.CreateElement("add");
         addElement1["sequence"] = @":";
         denyUrlSequencesCollection.Add(addElement1);

         ConfigurationElement addElement2 = denyUrlSequencesCollection.CreateElement("add");
         addElement2["sequence"] = @"\";
         denyUrlSequencesCollection.Add(addElement2);

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample

Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetWebConfiguration("Default Web Site")
      Dim requestFilteringSection As ConfigurationSection = config.GetSection("system.webServer/security/requestFiltering")
      Dim denyUrlSequencesCollection As ConfigurationElementCollection = requestFilteringSection.GetCollection("denyUrlSequences")

      Dim addElement As ConfigurationElement = denyUrlSequencesCollection.CreateElement("add")
      addElement("sequence") = ".."
      denyUrlSequencesCollection.Add(addElement)

      Dim addElement1 As ConfigurationElement = denyUrlSequencesCollection.CreateElement("add")
      addElement1("sequence") = ":"
      denyUrlSequencesCollection.Add(addElement1)

      Dim addElement2 As ConfigurationElement = denyUrlSequencesCollection.CreateElement("add")
      addElement2("sequence") = "\"
      denyUrlSequencesCollection.Add(addElement2)

      serverManager.CommitChanges()
   End Sub

End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site";
var requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site");
var denyUrlSequencesCollection = requestFilteringSection.ChildElements.Item("denyUrlSequences").Collection;

var addElement = denyUrlSequencesCollection.CreateNewElement("add");
addElement.Properties.Item("sequence").Value = "..";
denyUrlSequencesCollection.AddElement(addElement);

var addElement1 = denyUrlSequencesCollection.CreateNewElement("add");
addElement1.Properties.Item("sequence").Value = ":";
denyUrlSequencesCollection.AddElement(addElement1);

var addElement2 = denyUrlSequencesCollection.CreateNewElement("add");
addElement2.Properties.Item("sequence").Value = "\\";
denyUrlSequencesCollection.AddElement(addElement2);

adminManager.CommitChanges();

VBScript

Set adminManager = WScript.CreateObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site"
Set requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site")
Set denyUrlSequencesCollection = requestFilteringSection.ChildElements.Item("denyUrlSequences").Collection

Set addElement = denyUrlSequencesCollection.CreateNewElement("add")
addElement.Properties.Item("sequence").Value = ".."
denyUrlSequencesCollection.AddElement(addElement)

Set addElement1 = denyUrlSequencesCollection.CreateNewElement("add")
addElement1.Properties.Item("sequence").Value = ":"
denyUrlSequencesCollection.AddElement(addElement1)

Set addElement2 = denyUrlSequencesCollection.CreateNewElement("add")
addElement2.Properties.Item("sequence").Value = "\"
denyUrlSequencesCollection.AddElement(addElement2)

adminManager.CommitChanges()

Compartilhar via