c# - 阻止或限制流向 Asp.Net Web 应用程序的不需要的流量

Question

我有一个面向一小群国际用户的 Asp.net 4.5 MVC 网络应用程序。应用程序中可用的所有功能仅供经过身份验证的用户使用，除登录页面外没有任何公开内容。

有一段时间我有一个错误报告系统，如果发生未处理的错误，它会通过电子邮件通知我。其中一些报告包括对页面的请求，这些页面显然是基于机器人的安全扫描来寻找漏洞。为了进一步研究这个问题，我安装了一个 ip 日志记录系统，我可以使用它来将某些 ip 地址列入黑名单(并存储在数据库表中)，然后使用 global.asax 中的 Application_BeginRequest() 方法返回 404对于来自黑名单 ip 的请求。

但是，我最近部署了例程，现在发现我从数千个不同的 IP 地址扫描和寻找漏洞中获得了数千个不需要的点击。作为其中的一部分，我记录了请求的 url，最常见的 url 之一如下所示:

/Account/SetCulture?culture=fr-FR&returnUrl=http%3A%2F%2Fwww.mellon-associates.com%2FUserProfile%2Ftabid%2F42%2FuserId%2F26403%2FDefault.aspx

returnUrl 参数有很多变体。这当然行不通，因为应用程序不支持外部 URL。

无论如何，我将非常感谢有关如何锁定此应用程序和主机服务器的一些建议。我会使用仅白名单方法作为最后的手段，因为我不一定知道用户来自哪个 ip。

谢谢，约翰

Answer 1

您可以使用部分 IIS

1. “请求过滤”用于锁定 url 中的任何部分。
2. 根据请求频率拒绝请求的“动态 IP 限制”。
3. IP 地址白/黑名单的“IP 地址和域限制”。