valida - habilitar rutas de acceso primarias iis 7

Deshabilite los métodos de OPCIONES HTTP, RASTREO, CABEZA, COPIA y DESBLOQUEO en IIS

Question

Por razones de seguridad, quiero deshabilitar esos métodos a través del nivel de aplicación, así que tengo este archivo web.config

<configuration>
<location path="index.php">
<system.webServer>
<directoryBrowse enabled="false" />
</system.webServer>
<system.web>
<authorization>
<deny verbs="OPTIONS" users="*" />
<deny verbs="TRACE" users="*" />
<deny verbs="HEAD" users="*" />
<deny verbs="PROPFIND" users="*" />
<deny verbs="COPY" users="*" />
<deny verbs="LOCK" users="*" />
<deny verbs="UNLOCK" users="*" />
<deny verbs="PROPPATCH" users="*" />
<deny verbs="MKCOL" users="*" />
<deny verbs="MOVE" users="*" />
<deny verbs="DELETE" users="*" />
</authorization>
</system.web>

Pero esto no funcionó ninguna idea?

Answer 1

Esto funcionó para mí, pero solo después de forzar que los verbos específicos sean manejados por el controlador predeterminado.

<system.web>
...
<httpHandlers>
...
<add path="*" verb="OPTIONS" type="System.Web.DefaultHttpHandler" validate="true"/>
<add path="*" verb="TRACE" type="System.Web.DefaultHttpHandler" validate="true"/>
<add path="*" verb="HEAD" type="System.Web.DefaultHttpHandler" validate="true"/>

Aún usa la misma configuración que tiene anteriormente, pero también obliga a que los verbos se manejen con el controlador predeterminado y se validen. Fuente: http://forums.asp.net/t/1311323.aspx

Una forma fácil de probar es negar GET y ver si su sitio se carga.

Answer 2

Finalmente encontré otra respuesta para este problema. y esto esta funcionando para mi Simplemente agregue los datos a continuación al archivo de configuración web.

<configuration>
<system.webServer>
<security>
<requestFiltering>
<verbs allowUnlisted="true">
<add verb="OPTIONS" allowed="false" />
</verbs>
</requestFiltering>
</security>
</system.webServer>
</configuration>

Para obtener más información, puede visitar este sitio web: http://www.iis.net/learn/manage/configuring-security/use-request-filtering

Si desea probar su sitio web, ¿está funcionando o no? ... Puede usar el complemento Mozilla Firefox " HttpRequester ". para este complemento: https://addons.mozilla.org/En-us/firefox/addon/httprequester/

Answer 3

Para cualquier persona que busque una opción de interfaz de usuario utilizando el Administrador de IIS.

1. Abra el sitio web en el Administrador de IIS
2. Vaya al Filtro de solicitud y abra la ventana Filtro de solicitud.
3. Vaya a la pestaña Verbos y agregue verbos HTTP a "Permitir verbos ..." o "Denegar verbos ...". Esto permite agregar los verbos HTTP en la colección "Denegar verbo ...".

Ventana de filtrado de solicitudes en el Administrador de IIS

Añadir Verbo ... o Denegar Verbo ...