Secuencias de URL denegadas<denyUrlSequences>

Artículo
03/25/2024

Información general

El elemento <denyUrlSequences> contiene una colección de elementos <add> que especifican secuencias de caracteres URL que IIS denegará, lo que ayuda a evitar ataques basados en direcciones URL en el servidor web.

Por ejemplo, el uso de dos puntos en una dirección URL ("..") indicará a un servidor que procese la dirección URL en el siguiente directorio superior, pero también puede indicar que un atacante intenta obtener acceso a áreas fuera del área de contenido. Bloquear ese patrón de caracteres eliminará la posibilidad de que un atacante pueda aprovechar esta secuencia de direcciones URL.

Nota:

Cuando el filtrado de solicitudes bloquea una solicitud HTTP debido a una secuencia de direcciones URL denegada, IIS 7 devolverá un error HTTP 404 al cliente y registrará el siguiente estado HTTP con un subestado único que identifique el motivo por el que se denegó la solicitud:

Subestado HTTP	Descripción
`404.5`	Secuencia de direcciones URL denegada

Esta subestado permite a los administradores web analizar sus registros de IIS e identificar posibles amenazas.

Nota:

A partir de IIS 7.5, puede invalidar las secuencias de direcciones URL de la colección <denyUrlSequences> agregando secuencias de direcciones URL a la colección <alwaysAllowedUrls>.

Compatibilidad

Versión	Notas
IIS 10.0	El elemento `<denyUrlSequences>` no se modificó en IIS 10.0.
IIS 8.5	El elemento `<denyUrlSequences>` no se modificó en IIS 8.5.
IIS 8.0	El elemento `<denyUrlSequences>` no se modificó en IIS 8.0.
IIS 7.5	El elemento `<denyUrlSequences>` no se modificó en IIS 7.5. Nota: IIS 7.5 permite invalidar las secuencias de direcciones URL en el elemento `<denyUrlSequences>` agregando secuencias de direcciones URL a la colección `<alwaysAllowedUrls>`.
IIS 7.0	El elemento `<denyUrlSequences>` de la colección `<requestFiltering>` se introdujo en IIS 7.0.
IIS 6,0	El elemento `<denyUrlSequences>` reemplaza las características [DenyUrlSequences] de IIS 6.0 UrlScan.

Configuración

La instalación predeterminada de IIS 7 y versiones posteriores incluye el servicio de rol o característica Filtrado de solicitudes. Si se desinstala el servicio o el rol de Filtrado de solicitudes puede volver a instalarlo siguiendo estos pasos.

Windows Server 2012 o Windows Server 2012 R2

En la barra de tareas, haga clic en Administrador del servidor.
En Administrador del servidor, haga clic en el menú Administrar y, después, haga clic en Agregar roles y características.
En el asistente para Agregar roles y características, haga clic en Siguiente. Seleccione el tipo de instalación y haga clic en Siguiente. Seleccione el servidor de destino y haga clic en Siguiente.
En la página Roles de servidor, expanda Servidor web (IIS), expanda Servidor web, expanda Seguridad y luego seleccione Filtrado de solicitudes. Haga clic en Next.
.
En la página Seleccionar características, haz clic en Siguiente.
En la página Confirmar selecciones de instalación, haga clic en Instalar.
En la página Resultados , haga clic en Cerrar.

Windows 8 o Windows 8.1

En la pantalla Inicio, mueva el puntero hasta la esquina inferior izquierda, haga clic con el botón derecho en el botón Inicio y, a continuación, haga clic en Panel de control.
En Panel de control, haga clic en Programas y características y después en Activar o desactivar las características de Windows.
Expanda Internet Information Services, expanda Servicios World Wide Web, expanda Seguridad y luego seleccione Filtrado de solicitudes.
Haga clic en OK.
Haga clic en Cerrar.

Windows Server 2008 o Windows Server 2008 R2

En la barra de tareas, haga clic en Inicio, seleccione Herramientas administrativas y, luego, haga clic en Administrador del servidor.
En el panel de jerarquía del Administrador del servidor, expanda Roles y, luego, haga clic en Servidor web (IIS).
En el panel Servidor web (IIS), desplácese hasta la sección Servicios de rol y, luego, haga clic en Agregar servicios de rol.
En la página Seleccionar servicios de rol del Asistente para agregar servicios de rol, seleccione Filtrado de solicitudes y luego haga clic en Siguiente.
En la página Confirmar selecciones de instalación, haz clic en Instalar.
En la página Resultados , haga clic en Cerrar.

Windows Vista o Windows 7

En la barra de tareas, haga clic en Inicio y, luego, haga clic en Panel de control.
En Panel de control, haga clic en Programas y características y después en Activar o desactivar las características de Windows.
Expanda Internet Information Services, después World Wide Web Services y luego Seguridad.
Seleccione Filtrado de solicitudes y haga clic en Aceptar.

Procedimientos

Nota para los usuarios de IIS 7.0: algunos de los pasos de esta sección pueden requerir que instale el módulo Administration Pack de Microsoft para IIS 7.0, que incluye una interfaz de usuario para el filtrado de solicitudes. Para instalar el módulo Administration Pack de Microsoft para IIS 7.0, consulte la siguiente dirección URL:

https://www.iis.net/expand/AdministrationPack

Cómo denegar una secuencia de direcciones URL

Abra el Administrador de Internet Information Services (IIS):
- Si usa Windows Server 2012 o Windows Server 2012 R2:
  - En la barra de tareas, haga clic en Administrador del servidor, en Herramientas y, a continuación, en Administrador de Internet Information Services (IIS).
- Si usa Windows 8 o Windows 8.1:
  - Mantenga presionada la tecla Windows, presione la letra X y haga clic en Panel de control.
  - En Panel de control, haga clic en Herramientas administrativas y, a continuación, haga doble clic en Administrador de Internet Information Services (IIS).
- Si usa Windows Server 2008 o Windows Server 2008 R2:
  - En la barra de tareas, haga clic en Inicio, seleccione Herramientas administrativas y, a continuación, haga clic en Administrador de Internet Information Services (IIS).
- Si usa Windows Vista o Windows 7:
  - En la barra de tareas, haga clic en Inicio y, luego, haga clic en Panel de control.
  - Haga doble clic en Herramientas administrativas y, a continuación, haga doble clic en Administrador de Internet Information Services (IIS).
En el panel Conexiones, vaya a la conexión, sitio u aplicación de la que quiere modificar la configuración del filtrado de solicitudes.
En el panel Página principal, haga doble clic en Filtrado de solicitudes.
En el panel Filtrado de solicitudes, haga clic en la pestaña Denegar secuencias de direcciones URL y, a continuación, haga clic en Agregar secuencia de direcciones URL... en el panel Acciones.
En el cuadro de diálogo Agregar secuencia de denegación, escriba la secuencia de direcciones URL que quiere bloquear y, a continuación, haga clic en Aceptar.

Por ejemplo, para evitar la transversal de directorio en el servidor, escribiría dos puntos ("..") en el cuadro de diálogo.

Configuración

El elemento <denyUrlSequences> del elemento <requestFiltering> se configura en el nivel de sitio, aplicación o directorio.

Atributos

Ninguno.

Elementos secundarios

Elemento	Descripción
`add`	Elemento opcional. Agrega una secuencia a la colección de secuencias de direcciones URL denegadas.
`clear`	Elemento opcional. Quita todas las referencias a las secuencias de la colección `<denyUrlSequences>`.
`remove`	Elemento opcional. Quita una referencia a una secuencia de la colección `<denyUrlSequences>`.

Ejemplo de configuración

El siguiente archivo Web.config de ejemplo denegará el acceso a tres secuencias de direcciones URL. La primera secuencia impide que el directorio transversal, la segunda secuencia impida el acceso a flujos de datos alternativos y la tercera secuencia impide que se usen barras diagonales inversas en direcciones URL.

<configuration>
   <system.webServer>
      <security>
         <requestFiltering>
            <denyUrlSequences>
               <add sequence=".." />
               <add sequence=":" />
               <add sequence="\" />
            </denyUrlSequences>
         </requestFiltering>
      </security>
   </system.webServer>
</configuration>

En el siguiente ejemplo se muestra una combinación de un elemento <denyUrlSequences> y un elemento <alwaysAllowedUrls> que denegará las direcciones URL si contienen cualquiera de dos secuencias de caracteres específicas, pero siempre permitirá una dirección URL específica que contenga ambas secuencias de caracteres específicas en un orden determinado.

<system.webServer>
   <security>
      <requestFiltering>
         <denyUrlSequences>
            <add sequence="bad" />
            <add sequence="sequence" />
         </denyUrlSequences>
         <alwaysAllowedUrls>
            <add url="/bad_sequence.txt" />
         </alwaysAllowedUrls>
      </requestFiltering>
   </security>
</system.webServer>

Código de ejemplo

Los siguientes ejemplos de código muestran cómo denegar el acceso a tres secuencias de direcciones URL para el sitio web predeterminado: transversales de directorio (".."), secuencias de datos alternativas (":") y barras diagonales inversas ("").

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"denyUrlSequences.[sequence='..']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"denyUrlSequences.[sequence=':']" 

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"denyUrlSequences.[sequence='\']"

PowerShell

Start-IISCommitDelay

$denyUrlSequences = Get-IISConfigSection -CommitPath 'Default Web Site' -SectionPath 'system.webServer/security/requestFiltering' | Get-IISConfigCollection -CollectionName 'denyUrlSequences'

New-IISConfigCollectionElement -ConfigCollection $denyUrlSequences -ConfigAttribute @{ 'sequence' = '..' }
New-IISConfigCollectionElement -ConfigCollection $denyUrlSequences -ConfigAttribute @{ 'sequence' = ':' }
New-IISConfigCollectionElement -ConfigCollection $denyUrlSequences -ConfigAttribute @{ 'sequence' = '\' }

Stop-IISCommitDelay

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetWebConfiguration("Default Web Site");

         ConfigurationSection requestFilteringSection = config.GetSection("system.webServer/security/requestFiltering");

         ConfigurationElementCollection denyUrlSequencesCollection = requestFilteringSection.GetCollection("denyUrlSequences");

         ConfigurationElement addElement = denyUrlSequencesCollection.CreateElement("add");
         addElement["sequence"] = @"..";
         denyUrlSequencesCollection.Add(addElement);

         ConfigurationElement addElement1 = denyUrlSequencesCollection.CreateElement("add");
         addElement1["sequence"] = @":";
         denyUrlSequencesCollection.Add(addElement1);

         ConfigurationElement addElement2 = denyUrlSequencesCollection.CreateElement("add");
         addElement2["sequence"] = @"\";
         denyUrlSequencesCollection.Add(addElement2);

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample

Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetWebConfiguration("Default Web Site")
      Dim requestFilteringSection As ConfigurationSection = config.GetSection("system.webServer/security/requestFiltering")
      Dim denyUrlSequencesCollection As ConfigurationElementCollection = requestFilteringSection.GetCollection("denyUrlSequences")

      Dim addElement As ConfigurationElement = denyUrlSequencesCollection.CreateElement("add")
      addElement("sequence") = ".."
      denyUrlSequencesCollection.Add(addElement)

      Dim addElement1 As ConfigurationElement = denyUrlSequencesCollection.CreateElement("add")
      addElement1("sequence") = ":"
      denyUrlSequencesCollection.Add(addElement1)

      Dim addElement2 As ConfigurationElement = denyUrlSequencesCollection.CreateElement("add")
      addElement2("sequence") = "\"
      denyUrlSequencesCollection.Add(addElement2)

      serverManager.CommitChanges()
   End Sub

End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site";
var requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site");
var denyUrlSequencesCollection = requestFilteringSection.ChildElements.Item("denyUrlSequences").Collection;

var addElement = denyUrlSequencesCollection.CreateNewElement("add");
addElement.Properties.Item("sequence").Value = "..";
denyUrlSequencesCollection.AddElement(addElement);

var addElement1 = denyUrlSequencesCollection.CreateNewElement("add");
addElement1.Properties.Item("sequence").Value = ":";
denyUrlSequencesCollection.AddElement(addElement1);

var addElement2 = denyUrlSequencesCollection.CreateNewElement("add");
addElement2.Properties.Item("sequence").Value = "\\";
denyUrlSequencesCollection.AddElement(addElement2);

adminManager.CommitChanges();

VBScript

Set adminManager = WScript.CreateObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site"
Set requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site")
Set denyUrlSequencesCollection = requestFilteringSection.ChildElements.Item("denyUrlSequences").Collection

Set addElement = denyUrlSequencesCollection.CreateNewElement("add")
addElement.Properties.Item("sequence").Value = ".."
denyUrlSequencesCollection.AddElement(addElement)

Set addElement1 = denyUrlSequencesCollection.CreateNewElement("add")
addElement1.Properties.Item("sequence").Value = ":"
denyUrlSequencesCollection.AddElement(addElement1)

Set addElement2 = denyUrlSequencesCollection.CreateNewElement("add")
addElement2.Properties.Item("sequence").Value = "\"
denyUrlSequencesCollection.AddElement(addElement2)

adminManager.CommitChanges()

Compartir a través de

Secuencias de URL denegadas<denyUrlSequences>

Información general

Compatibilidad

Configuración

Windows Server 2012 o Windows Server 2012 R2

Windows 8 o Windows 8.1

Windows Server 2008 o Windows Server 2008 R2

Windows Vista o Windows 7

Procedimientos

Cómo denegar una secuencia de direcciones URL

Configuración

Atributos

Elementos secundarios

Ejemplo de configuración

Código de ejemplo

AppCmd.exe

PowerShell

C#

VB.NET

JavaScript

VBScript

Comentarios

Recursos adicionales