[IIS5] Na lockdown tool, bep. paden niet bereikbaar

[Verwijderd]

Ik zit met een wazig probleem. Ik heb in het kader van je weet maar nooit, de lock down tool van Microsoft over IIS heen gedaan. Na een tijdje ratelen kwamen er meldingen van deze tool, ik heb zus, zus, zus dit dat en zo dichtgespijkerd een prettige dag verder.

Hardstikke leuk en aardig, ware het niet dat ik op bepaalde subdirectories geen response meer krijg terwijl mijnziens de rechten en paden goed zijn.

Ik ben dus benieuwd of hier known issues bekend over zijn.

[Gomez12]

Eerst lezen voor je iets uitvoert. Als je lockdown download zie je een zooitje waarschuwingen met wat er niet meer kan werken. Eerst dit doorlezen

[Verwijderd]

Gomez12 schreef op 19 januari 2004 @ 23:18:
Eerst lezen voor je iets uitvoert. Als je lockdown download zie je een zooitje waarschuwingen met wat er niet meer kan werken. Eerst dit doorlezen

Ik heb zowiezo gelezen wat er uitgevoerd ging worden (Hallo dit is de lockdown tool, ik ga de boel dichtrammen ... punt )

Ik ben toch redelijk bekend met IIS maar dit is gewoon bizar. De rechten staan goed, en ik kom wel in een parent folder, maar niet in de folder eronder met dezelfde rechten.

Er is geen enkele reden waarom je de subfolder anders zou gaan beveiligen. Ik heb alle tabs al nagelopen en gechecked maar die zijn gewoon identiek met folders waar ik wel inkom.

[Gomez12]

Wat voor foutmelding geeft hij??? Gaarne eerst http-vriendelijke foutmeldingen uitzetten.

Geef eens een voorbeeld van een folder / subfolder naam

Blijkt nogal moeilijk te zijn om er achter te komen wat lockdown 2.1 nu precies doet, maar volgens mij zou hij enkele dingen van http://www.microsoft.com/...eploy/depovg/securiis.asp

moeten doen, misschien dat je er iets aan hebt.

[ Voor 51% gewijzigd door Gomez12 op 19-01-2004 23:35 ]

[Verwijderd]

Ik krijg helaas niet eens een foutmelding. Ik krijg alleen een "The page cannot be found". Alsof de hele directory stealth is.

Ik heb ook de event logs uitgeplozen, maar geen warnings of errors die ergens op kunnen duiden.

[Verwijderd]

Ik heb nog even extra gechecked, het komt voor op meerdere websites, zelf nadat ik bijvoorbeeld met de permissions wizard alles open heb gezet.

Ik vermoed dat het te maken heeft met de ISAPI dll URLScan. Het zou behoorlijk lomp zijn, maar toch.

[ Voor 27% gewijzigd door Verwijderd op 20-01-2004 09:20 ]

[Verwijderd]

Check even je urlscan logs:

%windir%\system32\inetsrv\urlscan

Kijk of de urlscan je url tegenhoudt. Pas daarop je urlscan.ini aan:

http://www.securityfocus.com/infocus/1755

En anders even Lockdown nog een keer draaien en alles ongedaan maken. Vervolgens weer draaien en daarna het vinkje plaatsen bij: View template settings. Dan krijg je te zien wat de lockdown tool gaat doen en kan je dit nog wijzigen.

[ Voor 40% gewijzigd door Verwijderd op 20-01-2004 14:24 ]

[elevator]

Verwijderd schreef op 20 januari 2004 @ 09:15:
Ik vermoed dat het te maken heeft met de ISAPI dll URLScan. Het zou behoorlijk lomp zijn, maar toch.

Kijk even in je IIS logs - vaak is daar wel e.e.a. uit te halen waarom het mis gaat. de lockdown tool zet overigens ook parent paths voor asp uit - en veel websites zijn daar ook al niet blij mee

[Verwijderd]

Ik heb het probleem gevonden maar een oplossing is er denk ik niet. Dit staat er in mijn logs nl..


[01-20-2004 - 09:25:51] Client at 80.127.217.74: URL contains '.' in the path. Request will be rejected. Site Instance='1', Raw URL='/imanage2004/wwwroot/sitedata/www.domein.nl/gfx/extranet.gif'

www.domein.nl moet ik helaas gebruiken, daar is nu net een groot gedeelte van de functionaliteit van een systeem omheen gebouwd.

De urlscan.ini laat mij zo te zien niet toe om deze rule te disablen.

PHP:

[options]
UseAllowVerbs=1                ; if 1, use [AllowVerbs] section, else use [DenyVerbs] section
UseAllowExtensions=0           ; if 1, use [AllowExtensions] section, else use [DenyExtensions] section
NormalizeUrlBeforeScan=1       ; if 1, canonicalize URL before processing
VerifyNormalization=1          ; if 1, canonicalize URL twice and reject request if a change occurs
AllowHighBitCharacters=0       ; if 1, allow high bit (ie. UTF8 or MBCS) characters in URL
AllowDotInPath=0               ; if 1, allow dots that are not file extensions
RemoveServerHeader=0           ; if 1, remove "Server" header from response
EnableLogging=1                ; if 1, log UrlScan activity
PerProcessLogging=0            ; if 1, the UrlScan.log filename will contain a PID (ie. UrlScan.123.log)
AllowLateScanning=0            ; if 1, then UrlScan will load as a low priority filter.
PerDayLogging=1                ; if 1, UrlScan will produce a new log each day with activity in the form UrlScan.010101.log
RejectResponseUrl=             ; UrlScan will send rejected requests to the URL specified here. Default is /<Rejected-by-UrlScan>
UseFastPathReject=0            ; If 1, then UrlScan will not use the RejectResponseUrl or allow IIS to log the request

; If RemoveServerHeader is 0, then AlternateServerName can be
; used to specify a replacement for IIS's built in 'Server' header
AlternateServerName=

[AllowVerbs]

;
; The verbs (aka HTTP methods) listed here are those commonly
; processed by a typical IIS server.
;
; Note that these entries are effective if "UseAllowVerbs=1"
; is set in the [Options] section above.
;

GET
HEAD
POST

[DenyVerbs]

;
; The verbs (aka HTTP methods) listed here are used for publishing
; content to an IIS server via WebDAV.
;
; Note that these entries are effective if "UseAllowVerbs=0"
; is set in the [Options] section above.
;

PROPFIND
PROPPATCH
MKCOL
DELETE
PUT
COPY
MOVE
LOCK
UNLOCK
OPTIONS
SEARCH

[DenyHeaders]

;
; The following request headers alter processing of a
; request by causing the server to process the request
; as if it were intended to be a WebDAV request, instead
; of a request to retrieve a resource.
;

Translate:
If:
Lock-Token:

[AllowExtensions]

;
; Extensions listed here are commonly used on a typical IIS server.
;
; Note that these entries are effective if "UseAllowExtensions=1"
; is set in the [Options] section above.
;

.asp
.cer
.cdx
.asa
.htm
.html
.txt
.jpg
.jpeg
.gif

;.idq
;.htw
;.ida
;.idc
;.shtm
;.shtml
;.stm
;.htr
;.printer
[DenyExtensions]

;
; Extensions listed here either run code directly on the server,
; are processed as scripts, or are static files that are
; generally not intended to be served out.
;
; Note that these entries are effective if "UseAllowExtensions=0"
; is set in the [Options] section above.
;

; Deny executables that could run on the server
.exe
.bat
.cmd
.com

; Deny infrequently used scripts
.htw     ; Maps to webhits.dll, part of Index Server
.ida     ; Maps to idq.dll, part of Index Server
.idq     ; Maps to idq.dll, part of Index Server
.htr     ; Maps to ism.dll, a legacy administrative tool
.idc     ; Maps to httpodbc.dll, a legacy database access tool
.shtm    ; Maps to ssinc.dll, for Server Side Includes
.shtml   ; Maps to ssinc.dll, for Server Side Includes
.stm     ; Maps to ssinc.dll, for Server Side Includes
.printer ; Maps to msw3prt.dll, for Internet Printing Services

; Deny various static files
.ini     ; Configuration files
.log     ; Log files
.pol     ; Policy files
.dat     ; Configuration files

;.asp
;.cer
;.cdx
;.asa
[DenyUrlSequences]
..  ; Don't allow directory traversals
./  ; Don't allow trailing dot on a directory name
\   ; Don't allow backslashes in URL
:   ; Don't allow alternate stream access
%   ; Don't allow escaping after normalization
&   ; Don't allow multiple CGI processes to run on a single request

[Eegee]

PHP:

[options] 
UseAllowVerbs=1                ; if 1, use [AllowVerbs] section, else use [DenyVerbs] section 
UseAllowExtensions=0           ; if 1, use [AllowExtensions] section, else use [DenyExtensions] section 
NormalizeUrlBeforeScan=1       ; if 1, canonicalize URL before processing 
VerifyNormalization=1          ; if 1, canonicalize URL twice and reject request if a change occurs 
AllowHighBitCharacters=0       ; if 1, allow high bit (ie. UTF8 or MBCS) characters in URL

AllowDotInPath=0

PHP:

RemoveServerHeader=0           ; if 1, remove "Server" header from response 
EnableLogging=1                ; if 1, log UrlScan activity 
PerProcessLogging=0            ; if 1, the UrlScan.log filename will contain a PID (ie. UrlScan.123.log) 
AllowLateScanning=0            ; if 1, then UrlScan will load as a low priority filter. 
PerDayLogging=1                ; if 1, UrlScan will produce a new log each day with activity in the form UrlScan.010101.log 
RejectResponseUrl=             ; UrlScan will send rejected requests to the URL specified here. Default is /<Rejected-by-UrlScan> 
UseFastPathReject=0 
....

Je moet toch even beter lezen/zoeken hoor...

[ Voor 42% gewijzigd door Eegee op 20-01-2004 20:05 ]

[Verwijderd]

Die had ik dus al gewijzigd, en daarna de websites ge-restart, maar een nog steeds werden ze geblocked.

[Eegee]

Nou, ik heb het eens lokaal geprobeerd, met het pad:
C:\Inetpub\wwwroot\sitedata\www.erikjan.nl\gfx\winxp.gif

wwwroot is dan wel de webroot, ik weet niet of dat bij jou ook zo is of dat het de subdir www.domein.nl is? Ik vroeg dus in m'n browser http://localhost/sitedata/www.erikjan.nl/gfx/winxp.gif op, en niet http://localhost/gfx/winxp.gif

- net stop iisadmin /Y
- AllowDotInPath op 1 gezet in urlscan.ini
- net start w3svc

Op de een of andere vage manier waren daarna de eerste 9 regels uit urlscan.ini verdwenen, misschien bij jou ook gebeurd!? Maar goed, weer net stop, handmatig regels terugplaatsen en weer net start. En toen deed hij het wel. Dus wat het dan bij jou kan zijn....?
Ik had eerst de directory op .com laten eindigen i.p.v. .nl waardoor IIS dacht dat het een executable was, maar ja dat geldt niet in jouw geval.

Post anders ook eens een stuk van urlscan.011904.log of urlscan.012004.log

[ Voor 8% gewijzigd door Eegee op 20-01-2004 21:52 ]

[Verwijderd]

Het is opgelost, een restart van de service deed wonderen. Met de allow dot regel uiteraard gewijzigd

[ Voor 27% gewijzigd door Verwijderd op 20-01-2004 23:24 ]