L'abilitazione del doppio escape è pericolosa?

Ho un'applicazione ASP.NET MVC con un percorso che consente di cercare cose tramite / search / <searchterm>.

Quando fornisco "search / abc" funziona bene, ma quando fornisco "/ search / a + b + c" (codifica URL corretta), IIS7 rifiuta la richiesta con errore HTTP 404.11 ( il modulo di filtro richieste è configurato per negare un richiesta che contiene una doppia sequenza di escape ). Innanzitutto, perché lo fa? Sembra generare l'errore solo se fa parte dell'URL, ma non come parte di una stringa di query (/ trasmetti? Q = a + b + c funziona correttamente).

Ora potrei abilitare le doppie richieste di escape nella sezione di sicurezza del mio web.config ma sono titubante nel farlo poiché non capisco le implicazioni, né perché il server rifiuta la richiesta "a + b + c" come parte dell'URL ma accetta come parte di una stringa di query.

Qualcuno può spiegare e dare qualche consiglio su cosa fare?

Modifica: aggiunta enfasi alle sezioni pertinenti.

Fondamentalmente: IIS è eccessivamente paranoico. Puoi disabilitare questo controllo in sicurezza se non stai facendo qualcosa di particolarmente poco saggio con i dati decodificati uri (come la generazione di URI del filesystem locale tramite concatenazione di stringhe).

Per disabilitare il controllo, procedi come segue (da qui ): (vedi il mio commento qui sotto per ciò che comporta il doppio escape).

<system.webServer>
    <security>
        <requestFiltering allowDoubleEscaping="true"/>
    </security>
</system.webServer>

Se il simbolo più è un carattere valido in un input di ricerca, sarà necessario abilitare "allowDoubleEscaping" per consentire a IIS di elaborare tale input dal percorso dell'URI.

Infine, una soluzione molto semplice, seppur limitata, è semplicemente quella di evitare "+" e utilizzare invece "% 20". In ogni caso, l'utilizzo del simbolo "+" per codificare uno spazio non è una codifica URL valida , ma specifica per un set limitato di protocolli e probabilmente ampiamente supportata per motivi di compatibilità con le versioni precedenti. Se solo per scopi di canonicalizzazione, ti conviene codificare gli spazi come '% 20' comunque; e questo risolve bene il problema di IIS7 (che può ancora emergere per altre sequenze, come% 25ab.)

Vorrei solo aggiungere alcune informazioni alla risposta di Eamon Nerbonne relative alla parte " cosa fare " della tua domanda (non spiegando i perché).
Puoi facilmente modificare anche le impostazioni di una particolare applicazione con

1. apertura della console con diritti di amministratore (Start - cmd - tasto destro, Esegui come amministratore)

2. digitando quanto segue (tratto da qui: http://blogs.iis.net/thomad/archive/2007/12/17/iis7-rejecting-urls-contain.aspx ):

   %windir%\system32\inetsrv\appcmd set config "YOURSITENAME" -section:system.webServer/security/requestfiltering -allowDoubleEscaping:true

   (ad esempio è possibile sostituire YOURSITENAMEcon l' Default Web Siteapplicazione di questa regola al sito Web predefinito)

3. Entra, pronto.

Un esempio:

1. in primo luogo ho avuto lo stesso problema:
2. Digitando il testo sopra menzionato:
3. Ora funziona come previsto:

Hai pensato di avere l'URL di ricerca come '/ search / a / b / c'?

Dovresti impostare un percorso come

search/{*path}

Quindi estrarre i valori di ricerca dalla stringa del percorso nell'azione.

HTHs
Charles

Mi sono imbattuto in questo in IIS 7.5 facendo un Server.TransferRequest () in un'applicazione.

La codifica del nome file ha causato il problema della doppia escape, ma se non lo codificassi, verrei nell'errore "potenzialmente pericoloso Request.Path" .

Mettere un protocollo qualsiasi, anche vuoto, sull'URL che passo a Server.TranferRequest () risolto il problema.

Non funziona:

context.Server.TransferRequest("/application_name/folder/bar%20bar.jpg");

Lavori:

context.Server.TransferRequest("://folder/bar%20bar.jpg");