FTP 文件扩展名 <fileExtensions>

项目
03/25/2024

概述

<fileExtensions> 元素包含一组 <add> 元素，这些元素指定 IIS 将允许或拒绝的唯一文件扩展名，具体取决于每个 <add> 元素的定义方式。通过使用 <fileExtensions> 元素，可以微调服务器将提供给 FTP 客户端的内容类型。

例如，如果将 allowUnlisted 属性设置为 false，则将拒绝下列所有请求：所请求文件的扩展名未包含在允许扩展名列表中。通过使用 <clear> 元素，可以清除已定义的文件扩展名列表，然后只需指定要允许的文件扩展名。

注意

当请求筛选因文件扩展名被拒绝而阻止 FTP 请求时，FTP 7 将向客户端返回 FTP 错误，并记录下列子状态（用于标识请求被拒绝原因）：

FTP 子状态	说明
`11`	文件扩展名因请求筛选规则遭到拒绝

此子状态允许 FTP 管理员分析其 IIS 日志并识别潜在威胁。

兼容性

版本	说明
IIS 10.0	`<fileExtensions>` 元素在 IIS 10.0 中未进行修改。
IIS 8.5	`<fileExtensions>` 元素在 IIS 8.5 中未进行修改。
IIS 8.0	`<fileExtensions>` 元素在 IIS 8.0 中未进行修改。
IIS 7.5	`<requestFiltering>` 元素的 `<fileExtensions>` 元素作为 IIS 7.5 的功能提供。
IIS 7.0	`<requestFiltering>` 元素的 `<fileExtensions>` 元素是在 IIS 7.0 的独立下载项 FTP 7.0 中引入的。
IIS 6.0	IIS 6.0 中的 FTP 服务不支持请求筛选。

注意

FTP 7.0 和 FTP 7.5 服务是 IIS 7.0 带外提供的，需要从以下 URL 下载和安装模块：

https://www.iis.net/expand/FTP

在 Windows 7 和 Windows Server 2008 R2 中，FTP 7.5 服务作为 IIS 7.5 的功能提供，因此无需再下载 FTP 服务。

安装

若要支持 Web 服务器的 FTP 发布，必须安装 FTP 服务。为此，请按照以下步骤操作。

Windows Server 2012 或 Windows Server 2012 R2

在任务栏上，单击 “服务器管理器”。
在“服务器管理器”中，单击“管理”菜单，然后单击“添加角色和功能”。
在“添加角色和功能”向导中，单击“下一步”。选择安装类型，然后单击“下一步”。选择目标服务器，然后单击“下一步”。
在“服务器角色”页上，展开“Web 服务器(IIS)”，然后选择“FTP 服务器”。

注意

若要支持 FTP 服务使用 ASP.Membership 身份验证或 IIS 管理器身份验证，除“FTP 服务”外还需选择“FTP 扩展性”。
。
单击“下一步”，然后在“选择功能”页上，再次单击“下一步”。
在“确认安装选择”页上，单击“安装”。
在“结果” 页面中单击“关闭” 。

Windows 8 或 Windows 8.1

在“开始”屏幕上，将指针一直移动到左下角，右键单击“开始”按钮，然后单击“控制面板”。
在“控制面板”中，单击“程序与功能”，然后单击“打开或关闭 Windows 功能”。
展开“Internet Information Services”，然后选择“FTP 服务器”。

注意

若要支持 FTP 服务使用 ASP.Membership 身份验证或 IIS 管理器身份验证，还需选择“FTP 扩展性”。
单击“确定”。
单击“关闭” 。

Windows Server 2008 R2

在任务栏上，单击“开始”，指向“管理工具”，然后单击“服务器管理器”。
在“服务器管理器”层次结构窗格中，展开“角色”，然后单击“Web 服务器(IIS)”。
在“Web 服务器 (IIS)”窗格中，滚动到“角色服务”部分，然后单击“添加角色服务”。
在“添加角色服务向导”的“选择角色服务”页，展开“FTP 服务器”。
选择“FTP 服务”。

注意

若要支持 FTP 服务使用 ASP.Membership 身份验证或 IIS 管理器身份验证，还需选择“FTP 扩展性”。
单击 “下一步” 。
在“确认安装选择”页中，单击“安装”。
在“结果” 页面中单击“关闭” 。

Windows 7

在任务栏上，单击“开始”，然后单击“控制面板”。
在“控制面板”中，单击“程序与功能”，然后单击“打开或关闭 Windows 功能”。
展开“Internet Information Services”，然后展开“FTP 服务器”。
选择“FTP 服务”。

注意

若要支持 FTP 服务使用 ASP.Membership 身份验证或 IIS 管理器身份验证，还需选择“FTP 扩展性”。
单击“确定”。

Windows Server 2008 或 Windows Vista

从以下 URL 下载安装包：
- https://www.iis.net/expand/FTP
按照以下演练中的说明安装 FTP 服务：
- 安装 FTP 7 及排查问题

操作方式

注意

FTP 请求筛选在 FTP 7.0 版本中没有用户界面；在 FTP 7.5 版本中增加了 FTP 请求筛选 UI。

如何拒绝对特定文件扩展名的 FTP 访问

打开 Internet Information Services (IIS) 管理器：
- 如果使用的是 Windows Server 2012 或 Windows Server 2012 R2：
  - 在任务栏上，单击“服务器管理器”，单击“工具”，然后单击“Internet Information Services (IIS)管理器”。
- 如果使用的是 Windows 8 或 Windows 8.1：
  - 按住 Windows 键，按字母 X，然后单击“控制面板”。
  - 单击“管理工具”，然后双击“Internet Information Services (IIS) 管理器”。
- 如果使用的是 Windows Server 2008 或 Windows Server 2008 R2：
  - 在任务栏上，单击“开始”，指向“管理工具”，然后单击“Internet Information Services (IIS)管理器”。
- 如果使用的是 Windows Vista 或 Windows 7：
  - 在任务栏上，单击“开始”，然后单击“控制面板”。
  - 双击“管理工具”，然后双击“Internet Information Services (IIS) 管理器”。
在“连接”窗格中，转到要为其修改请求筛选设置的站点或目录。
在“主页”窗格中，双击“FTP 请求过滤”。
在“FTP 请求筛选”窗格中，单击“文件扩展名”选项卡。
在“操作”窗格中单击“拒绝文件扩展名...”。
在“拒绝文件扩展名”对话框中，输入要阻止的文件扩展名。例如，若要防止访问文件扩展名为 .inc 的文件，请在对话框中输入“inc”。
单击“确定”。

配置

<requestFiltering> 元素的 <fileExtensions> 元素在全局、站点或 URL 级别配置。

特性

属性	说明
`allowUnlisted`	可选的 Boolean 属性。指定 Web 服务器是否应处理具有未列出文件扩展名的文件。如果将此属性设置为 true，则必须列出要拒绝的所有文件扩展名。如果将此属性设置为 false，则必须列出要允许的所有文件扩展名。默认值为 `true`。

子元素

元素	说明
`add`	可选元素。将文件扩展名添加到文件扩展名集合中。
`clear`	可选元素。从 `<fileExtensions>` 集合中移除对文件扩展名的所有引用。
`remove`	可选元素。从 `<fileExtensions>` 集合中移除对文件扩展名的引用。

配置示例

以下示例演示 FTP 站点的 <system.ftpServer> 元素中的多个安全相关配置设置。更具体而言，此示例中的 <location> 设置演示如何：

为管理员组指定读取和写入访问权限的 FTP 授权规则。
指定拒绝 *.exe、*.bat 和 *.cmd 文件的 FTP 请求筛选选项。
指定最大内容长度为 1000000 字节且最大 URL 长度为 1024 字节的 FTP 请求限制。
阻止 FTP 访问 _vti_bin 虚拟目录，此目录与 FrontPage 服务器扩展一起使用。
指定 FTP IP 筛选选项，这些选项允许从 127.0.0.1 进行访问，但拒绝从 169.254.0.0/255.255.0.0 范围的 IP 地址进行访问。

<location path="ftp.example.com">
  <system.ftpServer>
    <security>
      <authorization>
        <add accessType="Allow" roles="administrators" permissions="Read, Write" />
      </authorization>
      <requestFiltering>
        <fileExtensions allowUnlisted="true">
          <add fileExtension=".exe" allowed="false" />
          <add fileExtension=".bat" allowed="false" />
          <add fileExtension=".cmd" allowed="false" />
        </fileExtensions>
        <requestLimits maxAllowedContentLength="1000000" maxUrl="1024" />
        <hiddenSegments>
          <add segment="_vti_bin" />
        </hiddenSegments>
      </requestFiltering>
      <ipSecurity enableReverseDns="false" allowUnlisted="true">
        <add ipAddress="127.0.0.1" allowed="true" />
        <add ipAddress="169.254.0.0" subnetMask="255.255.0.0" allowed="false" />
      </ipSecurity>
    </security>
  </system.ftpServer>
</location>

代码示例

以下示例指定拒绝 *.exe、*.com、*.bat 和 *.cmd 文件的 FTP 请求筛选选项。

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/requestFiltering /+"fileExtensions.[fileExtension='.exe',allowed='False']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/requestFiltering /+"fileExtensions.[fileExtension='.com',allowed='False']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/requestFiltering /+"fileExtensions.[fileExtension='.cmd',allowed='False']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/requestFiltering /+"fileExtensions.[fileExtension='.bat',allowed='False']" /commit:apphost

注意

使用 AppCmd.exe 配置这些设置时，必须确保将 commit 参数设置为 apphost。这会将配置设置提交到 ApplicationHost.config 文件中的相应位置部分。

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();
         ConfigurationSection requestFilteringSection = config.GetSection("system.ftpServer/security/requestFiltering", "Default Web Site");
         ConfigurationElement fileExtensionsElement = requestFilteringSection.GetChildElement("fileExtensions");
         ConfigurationElementCollection fileExtensionsCollection = fileExtensionsElement.GetCollection();

         ConfigurationElement addElement = fileExtensionsCollection.CreateElement("add");
         addElement["fileExtension"] = @".exe";
         addElement["allowed"] = false;
         fileExtensionsCollection.Add(addElement);

         ConfigurationElement addElement1 = fileExtensionsCollection.CreateElement("add");
         addElement1["fileExtension"] = @".com";
         addElement1["allowed"] = false;
         fileExtensionsCollection.Add(addElement1);

         ConfigurationElement addElement2 = fileExtensionsCollection.CreateElement("add");
         addElement2["fileExtension"] = @".cmd";
         addElement2["allowed"] = false;
         fileExtensionsCollection.Add(addElement2);

         ConfigurationElement addElement3 = fileExtensionsCollection.CreateElement("add");
         addElement3["fileExtension"] = @".bat";
         addElement3["allowed"] = false;
         fileExtensionsCollection.Add(addElement3);

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration
      Dim requestFilteringSection As ConfigurationSection = config.GetSection("system.ftpServer/security/requestFiltering", "Default Web Site")
      Dim fileExtensionsElement As ConfigurationElement = requestFilteringSection.GetChildElement("fileExtensions")
      Dim fileExtensionsCollection As ConfigurationElementCollection = fileExtensionsElement.GetCollection

      Dim addElement As ConfigurationElement = fileExtensionsCollection.CreateElement("add")
      addElement("fileExtension") = ".exe"
      addElement("allowed") = False
      fileExtensionsCollection.Add(addElement)

      Dim addElement1 As ConfigurationElement = fileExtensionsCollection.CreateElement("add")
      addElement1("fileExtension") = ".com"
      addElement1("allowed") = False
      fileExtensionsCollection.Add(addElement1)

      Dim addElement2 As ConfigurationElement = fileExtensionsCollection.CreateElement("add")
      addElement2("fileExtension") = ".cmd"
      addElement2("allowed") = False
      fileExtensionsCollection.Add(addElement2)

      Dim addElement3 As ConfigurationElement = fileExtensionsCollection.CreateElement("add")
      addElement3("fileExtension") = ".bat"
      addElement3("allowed") = False
      fileExtensionsCollection.Add(addElement3)

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";
var requestFilteringSection = adminManager.GetAdminSection("system.ftpServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site");
var fileExtensionsElement = requestFilteringSection.ChildElements.Item("fileExtensions");
var fileExtensionsCollection = fileExtensionsElement.Collection;

var addElement = fileExtensionsCollection.CreateNewElement("add");
addElement.Properties.Item("fileExtension").Value = ".exe";
addElement.Properties.Item("allowed").Value = false;
fileExtensionsCollection.AddElement(addElement);

var addElement1 = fileExtensionsCollection.CreateNewElement("add");
addElement1.Properties.Item("fileExtension").Value = ".com";
addElement1.Properties.Item("allowed").Value = false;
fileExtensionsCollection.AddElement(addElement1);

var addElement2 = fileExtensionsCollection.CreateNewElement("add");
addElement2.Properties.Item("fileExtension").Value = ".cmd";
addElement2.Properties.Item("allowed").Value = false;
fileExtensionsCollection.AddElement(addElement2);

var addElement3 = fileExtensionsCollection.CreateNewElement("add");
addElement3.Properties.Item("fileExtension").Value = ".bat";
addElement3.Properties.Item("allowed").Value = false;
fileExtensionsCollection.AddElement(addElement3);

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"
Set requestFilteringSection = adminManager.GetAdminSection("system.ftpServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site")
Set fileExtensionsElement = requestFilteringSection.ChildElements.Item("fileExtensions")
Set fileExtensionsCollection = fileExtensionsElement.Collection

Set addElement = fileExtensionsCollection.CreateNewElement("add")
addElement.Properties.Item("fileExtension").Value = ".exe"
addElement.Properties.Item("allowed").Value = False
fileExtensionsCollection.AddElement(addElement)

Set addElement1 = fileExtensionsCollection.CreateNewElement("add")
addElement1.Properties.Item("fileExtension").Value = ".com"
addElement1.Properties.Item("allowed").Value = False
fileExtensionsCollection.AddElement(addElement1)

Set addElement2 = fileExtensionsCollection.CreateNewElement("add")
addElement2.Properties.Item("fileExtension").Value = ".cmd"
addElement2.Properties.Item("allowed").Value = False
fileExtensionsCollection.AddElement(addElement2)

Set addElement3 = fileExtensionsCollection.CreateNewElement("add")
addElement3.Properties.Item("fileExtension").Value = ".bat"
addElement3.Properties.Item("allowed").Value = False
fileExtensionsCollection.AddElement(addElement3)

adminManager.CommitChanges()

通过