asp.net - 为什么 ModSecurity OWASP 规则会阻止 .axd 文件？

Question

我一直在研究 ASP.NET 应用程序中的 WAF 发现。 WAF 是带有 OWASP CRS 的 ModSecurity。调查结果之一是:

URL 文件扩展名受策略限制，规则 ID 920440
它在文件 WebResource.axd 和 ScriptResource.axd 上触发。

我做了一些研究。我发现这些文件是 HTTP 处理程序，它们嵌入在程序集中。我发现了上述规则 - 这是一个简单的规则，它只是检查文件扩展名并基于此阻止请求。 .axd 恰好是列出的文件扩展名之一。

据我了解，这些文件可能与使用 AJAX 相关(我可能错了)。但是，我没有设法在互联网上找到任何原因/解释，为什么这些被 OWASP 列入黑名单。唯一可能提供线索的信息是 this question .

为什么 .axd 文件被列入黑名单？它们被弃用了吗？这些是否可以列为规则的异常(exception)情况，或者这些是否会带来一些实际风险？最后，如何修改 ASP.NET 应用程序使其不需要这些文件？

Answer 1

也许来不及回复，但有几个安全问题，包括 Oracle 填充攻击 CVE-2010-3332、Telerik 远程代码执行 CVE-2019-18935 等等，这些都与 axd 文件有关。