Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierung und Autorisierung 497
so große Ausgaben generiert, dass sie entweder Ihren Server oder einen Clientcomputer
überfordert. Der Standardwert ist 30.000.000.
maxURL ist die maximale Größe der URL (in der Einheit Byte), die an die Anwendung
übergeben wird. Das verhindert Pufferüberläufe in IIS oder seinen gehosteten Anwendungen,
wenn ein Client in böser Absicht sehr lange URLs sendet. Standardwert
ist 4096.
maxQueryString ist die maximale Größe (in der Einheit Byte) eines Abfragestrings,
also des Teils einer URL, der hinter dem Fragezeichen (?) beginnt. Standardwert ist
2048.
headerLimits ist eine Auflistung, deren Elemente zwei Attribute haben: header und
sizeLimit. Das Attribut header ist der Name des HTTP-Anforderungsheaders, der
eingeschränkt wird, und sizeLimit ist die maximale Größe des Headers (in Byte), der
übergeben werden kann.
verbs ist eine Auflistung von HTTP-Anforderungsverben, die erlaubt oder abgewiesen
werden. Die Attribute für ein verbs-Element sind:
allowUnlisted können Sie auf "true" (Standardwert) setzen, um andere HTTP-
Befehlsverben zu erlauben als die, die als verweigert aufgelistet werden. Mit "false"
erlauben Sie nur die HTTP-Befehlsverben, die explizit aufgelistet werden.
applyToWebDAV können Sie auf "true" (Standardwert) setzen, um die Auflage bezüglich
der Verben auch auf WebDAV anzuwenden.
Verben können in dieser Auflistung hinzugefügt, gelöscht und komplett gelöscht werden.
Jedes Element in der verbs-Auflistung hat zwei Elemente:
verb ist der Name des beschriebenen Verbs. Das am häufigsten verwendete Verb ist
GET, das Sie praktisch immer erlauben. Damit Formulare funktionieren, müssen Sie
normalerweise auch POST erlauben. Eine Liste häufig benutzter Anwendungen und
der erforderlichen Verben finden Sie unter http://support.microsoft.com/kb/823175.
allowed hat den Wert "true" (Standardwert), falls Sie dieses Verb erlauben. Bei
"false" wird es zurückgewiesen.
hiddenSegments ist eine Auflistung mit Elementen, die zurückgewiesen werden, falls sie
in einem Segment einer angeforderten URL vorkommen. Jedes Element in dieser Auflistung
enthält nur ein Attribut, segment. Sein Wert ist eine Zeichenfolge, die das blockierte
Segment angibt. Falls zum Beispiel ein Segment "bin" lautet, blockiert es Anforderungen
nach http://example.com/bin/scanme.pl, aber nicht die Anforderung http://example.
com/rubbish-bin/image.jpg. Sie können die hiddenSegments-Auflistung auch auf Web-
DAV anwenden, indem Sie das applytoWebDAV-Attribut entsprechend konfigurieren.
denyUrlSequences ist eine Auflistung mit Zeichensequenzen, die zurückgewiesen werden,
falls sie in einer angeforderten URL vorkommen. Sehr oft wird ".." in diese Auflistung
eingefügt, um zu verhindern, dass im Verzeichnis nach oben navigiert werden kann.
Elemente, die zu dieser Auflistung hinzugefügt werden, haben ein Attribut, sequence.
Dies ist die Zeichenfolge, die dazu führt, dass die URL zurückgewiesen wird, falls diese
Zeichenfolge irgendwo darin vorkommt.
Ein recht einfaches Beispiel ist der folgende XML-Ausschnitt, der doppelte Escapezeichen
und Zeichen verbietet, bei denen das oberste Bit gesetzt ist, nur die Dateierweiterungen
.html, .htm, .aspx und .mspx erlaubt, weit kürzere Längenlimits für Inhalt, URL und Abfra-