security - 如何使用 ColdFusion 的 IIS URL 重写从头响应中删除服务器头和其他变量？对于 IIS(8 及以上版本)

Question

作为安全配置的一部分，我们不应在 Header Response 中泄露“Server”变量和其他变量。如何删除托管在 IIS 上的 ColdFusion 服务器的这些变量？

Answer 1

从 https://www.iis.net/downloads/microsoft/url-rewrite 下载并安装“URL 重写”

转到配置好的 Jakarta 文件夹并添加 web.config这里。要将 URL 重写出站规则添加到“Jakarta”虚拟目录，我们需要一个 web.config . web.config应该有一个出站规则和下面提到的变量删除规则。

向 web.config 添加出站规则, 用于删除服务器 header 响应值并将其设置为空白。

<system.webServer>
    <outboundRules>
      <rule name="Remove Server">
        <match serverVariable="RESPONSE_SERVER" pattern=".*" />
        <action type="Rewrite" />
      </rule>
    </outboundRules>
  </rewrite>
</system.webServer>

对于所有静态文件(如 .css/.js 文件)的服务器标记值删除，将此添加到 web.config :

<configuration>
  <modules runAllManagedModulesForAllRequests="true">
</configuration>`

将下面的代码添加到 web.config用于移除 X-Powered-By和 X-AspNet-Version

<configuration>
 <httpProtocol>
  <customHeaders>
    <remove name="X-Powered-By" />
    <remove name="Server" />
    <remove name="X-AspNet-Version" />
  </customHeaders>
 </httpProtocol>
</configuration>

将 PortalTools 从虚拟目录转换为 Application 并添加相同的 web.config也到 PortalTools 文件夹。