IIS、ASP.NETでのHTTPメソッドの制御

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

• 戻る
  • IIS > IIS config
  • ASP.NET

目次 †

概要 †

• IIS、ASP.NETでのHTTPメソッドの制御

• セキュリティ云々での対策の場合、
  • 各メソッドの意味を把握しておくこと。
  • IIS、ASP.NETでは、機能がデフォルト・ロックダウンされているので、
    何か特別な設定（WebDAV有効化等）を行わ無い限り、通常、制限を加える必要は無い。

詳細 †

IIS †

Webサイト（IIS）全体に対する設定。

• 設定を行う場合は、requestFilteringセクションを使用する。

• requestFilteringセクションのverbsのallowUnlistedを

• trueに設定した場合、
  blackリスト化される（addでverbを指定、allowedをfalseにする）。

• falseに設定した場合、
  whiteリスト化される（addでverbを指定、allowedをtrueにする）。

• OPTIONSをblackリスト登録した例。

  <configuration>
   <system.webServer>
    <security>
     <requestFiltering>
      <verbs allowUnlisted="true">
       <add verb="OPTIONS" allowed="false" />
      </verbs>
     </requestFiltering>
    </security>
   </system.webServer>
  </configuration>

※ GUI（IISマネージャ）からの設定も可能。

ASP.NET †

Webアプリケーション（ASP.NET）に対する設定。

• *.configのhandlersセクションで、HttpForbiddenHandler?を設定する。
• handlersセクションは、.NETのHTTPハンドラに関するセクション。

• ポイント
  • 全てを禁止する場合、path="*"が使用できる。
  • HTTPメソッドの指定は、verbで設定できる。

    <add verb="*" path="*"
      type="System.Web.HttpMethodNotAllowedHandler" />

参考 †

IIS †

• web config - Disable HTTP OPTIONS, TRACE, HEAD, COPY and UNLOCK methods in IIS - Stack Overflow
  https://stackoverflow.com/questions/12131266/disable-http-options-trace-head-copy-and-unlock-methods-in-iis

• Microsoft Docs
  • Request Filtering <requestFiltering>
    https://docs.microsoft.com/en-us/iis/configuration/system.webserver/security/requestfiltering/
  • Verbs <verbs>
    https://docs.microsoft.com/en-us/iis/configuration/system.webServer/security/requestFiltering/verbs/

ASP.NET †

• ＠IT > Webフォーム
  • .NET TIPS ［ASP.NET］特定の拡張子に対するアクセスを制限するには？
    https://www.atmarkit.co.jp/fdotnet/dotnettips/117asphttp/asphttp.html
  • .NET TIPS ［ASP.NET］特定のサービスを無効にするには？
    https://www.atmarkit.co.jp/fdotnet/dotnettips/121aspconfext/aspconfext.html

• Handlers <handlers> | Microsoft Docs
  https://docs.microsoft.com/en-us/iis/configuration/system.webserver/handlers/

Tags: :Windows, :IIS, :.NET開発, :ASP.NET