URL中的URL编码尖括号？答案

【问题标题】：URL-Encoded Angle Brackets in URL?URL中的URL编码尖括号？
【发布时间】：2010-09-18 01:29:48
【问题描述】：

我正在开发一个遗留应用程序，无论出于何种原因，它都试图将 URL 编码的尖括号填充到 URL 中。例如，要获取以“”结尾的 URL：

http://somesite.com/somefolder/%3csometext%3e

当获取上述 URL 编码的 URL 时，它会在 IIS6 上生成 400 错误（错误请求），我不太明白为什么。可能很简单，但我很难过。

想法？谢谢。

【问题讨论】：

标签： http url encoding iis-6

【解决方案1】：

您必须安装不允许尖括号（任何形式）的 URLScan 工具 (http://technet.microsoft.com/en-us/security/cc242650.aspx)。

根据this，

    The new default urlscan.ini contains a rule in it to protect against these sort of patterns and the rule is just simply:

[DenyQueryStringSequences]

<

>

【讨论】：

为什么会这样？ urlscan 在 iis 6 及以下版本中很常见。
这是肯定的原因。 +1
不，我的意思是它不允许有效的 url 编码字符是荒谬的。
查询字符串中的值经常显示在页面上，没有转义。如果您在查询字符串中允许使用尖括号，然后它们在没有转义的情况下显示出来，那么您就打开了一个巨大的 XSS 漏洞。 URLScan 保护您的服务器免受编写错误的 Web 应用程序的影响。
@Roger The values in the query string are often displayed on the page ...除非你是一个体面的程序员！ :)