☰

IIS6 在标头中泄露 IP 地址

tag-icon • tag-icon iis-6 ip-address metabase
IIS6 在标头中泄露 IP 地址

我们正在与 securitymetrics.com 合作，使我们的电子商务网站获得 PCI 合规性。最后一项不断出现的内容如下：

摘要：此 Web 服务器通过其 HTTP 标头泄露私有 IP 地址。说明：这可能会暴露通常隐藏或屏蔽在网络地址转换 (NAT) 防火墙或代理服务器后面的内部 IP 地址。IIS 4.0 在其默认配置下执行此操作存在已知问题。这也可能影响其他 Web 服务器，尤其是在配置错误的重定向上。另请参阅： http://support.microsoft.com/support/kb/ 文章/Q218/1/80.ASP

我已经使用 KB 文章中记录的脚本实现了 MetaBase 中的更改adsutil.vbs，并且还使用 IIS6 Metabase 资源管理器验证了这些更改，但我们在此项上仍然失败。

我们通过 Fortinet 防火墙反向托管此网站。

对于我可能遗漏的内容有什么建议吗？

答案1

  • 我们通过 Fortinet 防火墙反向托管此网站。

你是指端口转发吗？

您正在使用哪个版本的 IIS？

配置更改后，您是否重新启动了 IISadmin 进程？

附带问题：有什么阻止您在 DMZ 中托管此服务吗？

答案2

您是否直接连接到 Web 服务器，这样就不必穿过防火墙了？例如，telnet 到端口 80 并发出正确的 HTTP/1.0 GET 请求。我之所以问这个问题，是因为我们遇到了一个问题，尽管我们在 IIS 中进行了更改，但还是被标记了。但是，我们能够证明这是负载平衡器在作怪，因为当我们直接 telnet 进入并手动发出 GET 请求，绕过负载平衡器时，我们得到的是服务器名称。

相关内容