Ajout de chaînes de requête à toujours autoriser <add>

Article
03/25/2024

Vue d’ensemble

L’élément <add> de l’élément <alwaysAllowedQueryStrings> spécifie un modèle de chaîne de requête unique qui sera autorisé par le filtrage des demandes. Les valeurs dans l’élément <alwaysAllowedQueryStrings> remplacent les valeurs dans la collection <denyQueryStringSequences>.

Compatibilité

Version	Notes
IIS 10.0	L’élément `<add>` n’a fait l’objet d’aucune modification dans IIS 10.0.
IIS 8.5	L’élément `<add>` n’a fait l’objet d’aucune modification dans IIS 8.5.
IIS 8.0	L’élément `<add>` n’a fait l’objet d’aucune modification dans IIS 8.0.
IIS 7.5	L’élément `<add>` de l’élément `<alwaysAllowedQueryStrings>` est fourni en tant que fonctionnalité d’IIS 7.5.
IIS 7.0	L’élément `<add>` de l’élément `<alwaysAllowedQueryStrings>` a été introduit dans le cadre d’une mise à jour pour IIS 7.0 qui est disponible via l’article 957508 de la Base de connaissances Microsoft (`https://support.microsoft.com/kb/957508`).
IIS 6.0	L’élément `<alwaysAllowedQueryStrings>` est à peu près analogue à la section [AlwaysAllowedQueryStrings] qui a été ajoutée à URLScan 3.0.

Programme d’installation

L’installation par défaut d’IIS 7 et des versions ultérieures inclut le service de rôle ou la fonctionnalité Filtrage des demandes. Si le service de rôle ou la fonctionnalité Filtrage des demandes a été désinstallé, vous pouvez le réinstaller en effectuant les étapes suivantes.

Windows Server 2012 ou Windows Server 2012 R2

Dans la barre des tâches, cliquez sur Gestionnaire de serveur.
Dans le Gestionnaire de serveur, cliquez sur le menu Gérer, puis cliquez sur Ajouter des rôles et des fonctionnalités.
Dans l’Assistant Ajout de rôles et de fonctionnalités, cliquez sur Suivant. Sélectionnez le type d’installation, puis cliquez sur Suivant. Sélectionnez le serveur de destination, puis cliquez sur Suivant.
Dans la page Rôles serveur, développez tour à tour Serveur web (IIS), Serveur web et Sécurité, puis sélectionnez Filtrage des demandes. Sélectionnez Suivant.
.
Dans la page Sélectionner les composants, cliquez sur Suivant.
Dans la page Confirmer les sélections d’installation, cliquez sur Installer.
Dans la page Résultats , cliquez sur Fermer.

Windows 8 ou Windows 8.1

Dans l’écran d’accueil, déplacez le pointeur jusqu’au coin inférieur gauche, cliquez avec le bouton droit sur le bouton Démarrer, puis cliquez sur Panneau de configuration.
Dans le Panneau de configuration, cliquez sur Programmes et fonctionnalités, puis cliquez sur Activer ou désactiver des fonctionnalités Windows.
Développez tour à tour Internet Information Services, Services World Wide Web et Sécurité, puis sélectionnez Filtrage des demandes.
Cliquez sur OK.
Cliquez sur Fermer.

Windows Server 2008 ou Windows Server 2008 R2

Dans la barre des tâches, cliquez sur Démarrer, pointez sur Outils d’administration, puis cliquez sur Gestionnaire de serveur.
Dans le volet de la hiérarchie du Gestionnaire de serveur, développez Rôles, puis cliquez sur Serveur web (IIS).
Dans le volet Serveur web (IIS), faites défiler le contenu jusqu’à la section Services de rôle, puis cliquez sur Ajouter des services de rôle.
Dans la page Sélectionner des services de rôle de l’Assistant Ajout de services de rôle, sélectionnez Filtrage des demandes, puis cliquez sur Suivant.
Dans la page Confirmer les sélections pour l'installation, cliquez sur Installer.
Dans la page Résultats , cliquez sur Fermer.

Windows Vista ou Windows 7

Dans la barre des tâches, cliquez sur Démarrer, puis cliquez sur Panneau de configuration.
Dans le Panneau de configuration, cliquez sur Programmes et fonctionnalités, puis cliquez sur Activer ou désactiver des fonctionnalités Windows.
Développez tour à tour Internet Information Services, Services World Wide Web et Sécurité.
Sélectionnez Filtrage des demandes, puis cliquez sur OK.

Procédure

Autoriser une séquence de chaîne de requête

Ouvrez le Gestionnaire Internet Information Services (IIS) :
- Si vous utilisez Windows Server 2012 ou Windows Server 2012 R2 :
  - Dans la barre des tâches, cliquez sur Gestionnaire de serveur, cliquez sur Outils, puis cliquez sur Gestionnaire Internet Information Services (IIS).
- Si vous utilisez Windows 8 ou Windows 8.1 :
  - Maintenez la touche Windows enfoncée, appuyez sur la lettre X, puis cliquez sur Panneau de configuration.
  - Cliquez sur Outils d’administration, puis double-cliquez sur Gestionnaire Internet Information Services (IIS).
- Si vous utilisez Windows Server 2008 ou Windows Server 2008 R2 :
  - Dans la barre des tâches, cliquez sur Démarrer, pointez sur Outils d’administration, puis cliquez sur Gestionnaire Internet Information Services (IIS).
- Si vous utilisez Windows Vista ou Windows 7 :
  - Dans la barre des tâches, cliquez sur Démarrer, puis cliquez sur Panneau de configuration.
  - Double-cliquez sur Outils d’administration, puis double-cliquez sur Gestionnaire Internet Information Services (IIS).
Dans le volet Connexions, accédez à la connexion, au site, à l’application ou au répertoire pour lequel vous souhaitez modifier les paramètres de filtrage des demandes.
Dans le volet Accueil, double-cliquez sur Filtrage des demandes.
Dans le volet Filtrage des demandes, cliquez sur l’onglet Chaînes de requête, puis cliquez sur Autoriser la chaîne de requête... dans le volet Actions.
Dans la boîte de dialogue Autoriser la chaîne de requête, entrez la séquence de chaîne de requête que vous souhaitez bloquer, puis cliquez sur OK.

Configuration

L’élément <add> de l’élément <alwaysAllowedQueryStrings> est configuré au niveau du site, de l’application ou du répertoire.

Attributs

Attribut	Description
`queryString`	Attribut de chaîne facultatif. Spécifie une chaîne de requête à toujours autoriser. Il n'y a pas de valeur par défaut.

Éléments enfants

Aucune.

Exemple Configuration

L’exemple suivant illustre l’utilisation combinée d’un élément <denyQueryStringSequences> et d’un élément <alwaysAllowedQueryStrings> pour refuser toutes les chaînes de requête qui contiennent l’une des deux séquences de caractères spécifiques, mais pour toujours autoriser une chaîne de requête spécifique qui contient ces deux séquences de caractères spécifiques dans un ordre particulier.

<system.webServer>
   <security>
      <requestFiltering>
         <denyQueryStringSequences>
            <add sequence="bad" />
            <add sequence="sequence" />
         </denyQueryStringSequences>
         <alwaysAllowedQueryStrings>
            <add queryString="bad=sequence" />
         </alwaysAllowedQueryStrings>
      </requestFiltering>
   </security>
</system.webServer>

Exemple de code

Les exemples suivants montrent comment ajouter une chaîne de requête qui sera toujours autorisée sur le site web par défaut.

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"alwaysAllowedQueryStrings.[queryString='allowed=sequence']"

PowerShell

$alwaysAllowedQueryStrings = Get-IISConfigSection -CommitPath 'Default Web Site' -SectionPath 'system.webServer/security/requestFiltering' | Get-IISConfigCollection -CollectionName 'alwaysAllowedQueryStrings'
New-IISConfigCollectionElement -ConfigCollection $alwaysAllowedQueryStrings -ConfigAttribute @{ 'queryString' = 'allowed=sequence' }

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetWebConfiguration("Default Web Site");
         ConfigurationSection requestFilteringSection = config.GetSection("system.webServer/security/requestFiltering");
         ConfigurationElementCollection alwaysAllowedQueryStringsCollection = requestFilteringSection.GetCollection("alwaysAllowedQueryStrings");

         ConfigurationElement addElement = alwaysAllowedQueryStringsCollection.CreateElement("add");
         addElement["queryString"] = @"allowed=sequence";
         alwaysAllowedQueryStringsCollection.Add(addElement);

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetWebConfiguration("Default Web Site")
      Dim requestFilteringSection As ConfigurationSection = config.GetSection("system.webServer/security/requestFiltering")

      Dim alwaysAllowedQueryStringsCollection As ConfigurationElementCollection = requestFilteringSection.GetCollection("alwaysAllowedQueryStrings")
      Dim addElement As ConfigurationElement = alwaysAllowedQueryStringsCollection.CreateElement("add")
      addElement("queryString") = "allowed=sequence"
      alwaysAllowedQueryStringsCollection.Add(addElement)

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site";
var requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site");

var alwaysAllowedQueryStringsCollection = requestFilteringSection.ChildElements.Item("alwaysAllowedQueryStrings").Collection;
var addElement = alwaysAllowedQueryStringsCollection.CreateNewElement("add");
addElement.Properties.Item("queryString").Value = "allowed=sequence";
alwaysAllowedQueryStringsCollection.AddElement(addElement);

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site"
Set requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site")

Set alwaysAllowedQueryStringsCollection = requestFilteringSection.ChildElements.Item("alwaysAllowedQueryStrings").Collection
Set addElement = alwaysAllowedQueryStringsCollection.CreateNewElement("add")
addElement.Properties.Item("queryString").Value = "allowed=sequence"
alwaysAllowedQueryStringsCollection.AddElement(addElement)

adminManager.CommitChanges()

Partager via