Как исправить уязвимость aspx?Dir=http://externalwebsite.com IIS 8.5

Я работаю с разрабатываемыми и предпроизводственными серверами IIS, чтобы публиковать и тестировать веб-приложения, которые мы разрабатываем. Пришел какой-то консультант Ethical Hacking и предупредил нас об уязвимости, которую они нашли на некоторых наших серверах:

http://www.ourserver.com/default_logged.aspx?Dir=http://www.anyexternalsite.com

Эта уязвимость перенаправляет пользователя с нашего веб-сайта на внешний веб-сайт, позволяя ему стать жертвой фишинга.

Я погуглил об этой уязвимости (обход каталога или пути) и нашел эту ссылку:

https://www.cvedetails.com/cve/CVE-2014-4078/< /а>

Я последовал их совету и установил некоторые обновления с этого официального сайта MS (для Windows Server 2012 R2):

https://technet.microsoft.com/library/security/ms14-076

Но проблема все еще существует ... если кто-нибудь знает об этом и скажет мне, как ее решить, я буду очень признателен.

Заранее спасибо.


security exploit directory-traversal path-traversal iis-8.5
person Jose Sansuste    schedule 20.02.2018    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Это не уязвимость обхода пути, при обходе пути злоумышленник может увидеть внутренние файлы вашего сервера.

Это открытая переадресация, при которой ваш сайт перенаправляет пользователей на другой веб-сайт.

Решение может быть:

  • Если вы можете избежать перенаправления, сделайте это.
  • Если нет, выполните проверку, чтобы убедиться, что перенаправление происходит туда, куда вы хотите отправить пользователя, например. URL-адрес вашего собственного веб-сайта (или другой доверенный URL-адрес).
person sinkmanu    schedule 20.02.2018