我们在 SSRS 服务器的内部和外部渗透测试中不断遇到中等安全风险。主要原因是扫描程序试图使用 http(s)://reports.whatever.com。
据我对 SSRS 的 Web 服务的调查，我了解到这个“基本 URL”从未使用过。只有 Web 服务 URL 和 Web 门户 URL。
似乎在 SSRS 的此配置中，所使用的 Web 服务器是内部 http.sys Web 服务器，而不是 IIS。是否可以禁用此基本侦听器，以便只有 Web 服务 URL 和 Web 门户 URL 发送响应给客户端？
我曾尝试删除 netsh http show urlacl 中的一些 urlacl，但无济于事。