1

我正在尝试使站点 pci 兼容。

如果你访问（虚拟ip）：http:someipaddress/ZNYTMHXO.ashx

然后用户正确地看到我在我的网络配置中声明的页面中的 html：

但是，如果您使用相同的 url，但在查询字符串中使用 ?aspxerrorpath=/：http:someipaddress/ZNYTMHXO.ashx?aspxerrorpath=/

然后页面显示“/”应用程序中的服务器错误。运行时错误。

这导致 pci 扫描失败。

为什么这个变量会导致问题？

抱歉，我应该声明 ZNYTMHXO.ashx 不存在。当 asperrorpath 不在查询字符串中时，404 重定向有效。

-----更新----- 只是为了帮助，这是显示页面的html，非常有限。

<!DOCTYPE html>
<html>
    <head>
        <title>Runtime Error</title>
        <meta name="viewport" content="width=device-width" />
        <style>
         body {font-family:"Verdana";font-weight:normal;font-size: .7em;color:black;} 
         p {font-family:"Verdana";font-weight:normal;color:black;margin-top: -5px}
         b {font-family:"Verdana";font-weight:bold;color:black;margin-top: -5px}
         H1 { font-family:"Verdana";font-weight:normal;font-size:18pt;color:red }
         H2 { font-family:"Verdana";font-weight:normal;font-size:14pt;color:maroon }
         pre {font-family:"Consolas","Lucida Console",Monospace;font-size:11pt;margin:0;padding:0.5em;line-height:14pt}
         .marker {font-weight: bold; color: black;text-decoration: none;}
         .version {color: gray;}
         .error {margin-bottom: 10px;}
         .expandable { text-decoration:underline; font-weight:bold; color:navy; cursor:hand; }
         @media screen and (max-width: 639px) {
          pre { width: 440px; overflow: auto; white-space: pre-wrap; word-wrap: break-word; }
         }
         @media screen and (max-width: 479px) {
          pre { width: 280px; }
         }
        </style>
    </head>

    <body bgcolor="white">

            <span><H1>Server Error in '/' Application.<hr width=100% size=1 color=silver></H1>

            <h2> <i>Runtime Error</i> </h2></span>

            <font face="Arial, Helvetica, Geneva, SunSans-Regular, sans-serif ">

            <b> Description: </b>An exception occurred while processing your request. Additionally, another exception occurred while executing the custom error page for the first exception. The request has been terminated.
            <br><br>

    </body>
</html>
4

1 回答 1

2

ScottGuthrie 的以下博客文章http://weblogs.asp.net/scottgu/archive/2010/09/24/update-on-asp-net-vulnerability.aspx应该会有所帮助。

他描述了如何使用 IIS Url Scan 模块来：

禁止具有“aspxerrorpath=”查询字符串属性的 URL 进入 ASP.NET 应用程序，而是导致 Web 服务器返回 HTTP 错误。添加此规则可防止攻击者区分服务器上发生的不同类型的错误——这有助于阻止使用此漏洞的攻击。

他正在写一个据报道已修补的漏洞。然而，有些人报告说这仍然是 .Net 4.0 的问题（这里提到：为什么 ASP.NET 错误页面在出现 aspxerrorpath 查询字符串后立即返回 404？）

您的 PCI 扫描很可能试图利用同样的漏洞。消除漏洞，你应该通过。

希望有帮助。

于 2013-04-11T22:07:10.607 回答