请求限制 <requestLimits>

  • 项目

概述

<requestLimits> 元素指定 HTTP 服务器处理的 HTTP 请求的限制。 这些限制包括请求的最大大小、最大 URL 长度和查询字符串的最大长度。 此外，<requestLimits> 元素还可以包含 <headerLimits> 元素中用户定义的 HTTP 标头限制的集合，后一个元素可用于定义 HTTP 标头的自定义设置。

注意

当请求筛选由于 HTTP 请求超出请求限制而阻止 HTTP 请求时，IIS 7 将向客户端返回 HTTP 404 错误，并记录以下 HTTP 状态以及唯一的子状态，该子状态标识请求被拒绝的原因：

HTTP 子状态 说明
404.14 URL 太长
404.15 查询字符串太长
413.1 内容长度过大

这些子状态允许 Web 管理员分析其 IIS 日志并识别潜在威胁。

此外，当 HTTP 请求超出元素中 <headerLimits> 定义的标头限制时，IIS 7 会向具有以下子状态的客户端返回 HTTP 404 错误：

HTTP 子状态 说明
431 请求标头过长

兼容性

版本 说明
IIS 10.0 <requestLimits> 元素在 IIS 10.0 中未进行修改。
IIS 8.5 <requestLimits> 元素在 IIS 8.5 中未进行修改。
IIS 8.0 <requestLimits> 元素在 IIS 8.0 中未进行修改。
IIS 7.5 <requestLimits> 元素在 IIS 7.5 中未进行修改。
IIS 7.0 IIS 7.0 中引入了 <requestFiltering> 集合的 <requestLimits> 元素。
IIS 6.0 <requestLimits> 元素取代了 IIS 6.0 的 UrlScan [RequestLimits] 功能。

安装

IIS 7 及更高版本的默认安装包括请求筛选角色服务或功能。 如果卸载请求筛选角色服务或功能，可以使用以下步骤重新安装它。

Windows Server 2012 或 Windows Server 2012 R2

  1. 在任务栏上，单击 “服务器管理器”。
  2. 在“服务器管理器”中，单击“管理”菜单，然后单击“添加角色和功能”。
  3. 在“添加角色和功能”向导中，单击“下一步”。 选择安装类型，然后单击“下一步”。 选择目标服务器，然后单击“下一步”。
  4. 在“服务器角色”页上，依次展开“Web 服务器 (IIS)”、“Web 服务器”和“安全性”，然后选择“请求筛选”。 单击 “下一步” 。
    Screenshot of the Request Filtering option being highlighted.。
  5. 在“选择功能”页上，单击“下一步”。
  6. 在“确认安装选择”页上，单击“安装”。
  7. 在“结果” 页面中单击“关闭” 。

Windows 8 或 Windows 8.1

  1. 在“开始”屏幕上，将指针一直移动到左下角，右键单击“开始”按钮，然后单击“控制面板”。
  2. 在“控制面板”中，单击“程序与功能”，然后单击“打开或关闭 Windows 功能”。
  3. 依次展开“Internet Information Services”、“万维网服务”和“安全性”，然后选择“请求筛选”。
    Screenshot of the Request Filtering folder being highlighted.
  4. 单击“确定”。
  5. 单击“关闭” 。

Windows Server 2008 或 Windows Server 2008 R2

  1. 在任务栏上，单击“开始”，指向“管理工具”，然后单击“服务器管理器”。
  2. 在“服务器管理器”层次结构窗格中，展开“角色”，然后单击“Web 服务器 (IIS)”。
  3. 在“Web 服务器 (IIS)”窗格中，滚动到“角色服务”部分，然后单击“添加角色服务”。
  4. 在“添加角色服务向导”的“选择角色服务”页上，选择“请求筛选”，然后单击“下一步”。
    Screenshot of the Request Filtering option being highlighted and the only selected option.
  5. 在“确认安装选择”页中，单击“安装”。
  6. 在“结果” 页面中单击“关闭” 。

Windows Vista 或 Windows 7

  1. 在任务栏上，单击“开始”，然后单击“控制面板”。
  2. 在“控制面板”中，单击“程序与功能”，然后单击“打开或关闭 Windows 功能”。
  3. 扩展“Internet Information Services”，展开“万维网服务”，然后展开“安全性”。
  4. 选择“请求筛选”，然后单击“确定”。
    Screenshot of the Request Filtering folder being selected and highlighted.

操作方式

IIS 7.0 用户请注意：本节中的某些步骤可能需要安装 Microsoft Administration Pack for IIS 7.0，其中包括请求筛选用户界面。 若要安装 Microsoft Administration Pack for IIS 7.0，请参阅以下 URL：

如何编辑请求筛选功能设置和请求限制

  1. 打开 Internet Information Services (IIS) 管理器：

    • 如果使用的是 Windows Server 2012 或 Windows Server 2012 R2：

      • 在任务栏上，单击“服务器管理器”，单击“工具”，然后单击“Internet Information Services (IIS)管理器”。

    • 如果使用的是 Windows 8 或 Windows 8.1：

      • 按住 Windows 键，按字母 X，然后单击“控制面板”。
      • 单击“管理工具”，然后双击“Internet 信息服务(IIS)管理器”。

    • 如果使用的是 Windows Server 2008 或 Windows Server 2008 R2：

      • 在任务栏上，单击“开始”，指向“管理工具”，然后单击“Internet Information Services (IIS)管理器”。

    • 如果使用的是 Windows Vista 或 Windows 7：

      • 在任务栏上，单击“开始”，然后单击“控制面板”。
      • 双击“管理工具”，然后双击“Internet 信息服务(IIS)管理器”。

  2. 在“连接”窗格中，转到要为其修改请求筛选设置的连接、站点、应用程序或目录。

  3. 在“主页”窗格中，双击“请求过滤”。
    Screenshot of the Default Web Site Home screen's Home pane.

  4. 在“操作”窗格中，单击“编辑功能设置...”。
    Screenshot of the Request Filtering screen, showing the File Name Extensions and Hidden Segment tab.

  5. 指定选项，然后单击“确定”。
    Screenshot of the Edit Request Filtering Settings dialog box, showing four selectable fields. 例如，可以进行以下更改：

    • 指定 2048，可将最大 URL 长度更改为 2KB。
    • 指定 1024 可将最大查询字符串长度更改为 1KB。
    • 清除“允许未列出的谓词”复选框可拒绝对未列出的 HTTP 谓词 的访问。

如何为 HTTP 标头添加限制

  1. 打开 Internet Information Services (IIS) 管理器：

    • 如果使用的是 Windows Server 2012 或 Windows Server 2012 R2：

      • 在任务栏上，单击“服务器管理器”，单击“工具”，然后单击“Internet Information Services (IIS)管理器”。

    • 如果使用的是 Windows 8 或 Windows 8.1：

      • 按住 Windows 键，按字母 X，然后单击“控制面板”。
      • 单击“管理工具”，然后双击“Internet 信息服务(IIS)管理器”。

    • 如果使用的是 Windows Server 2008 或 Windows Server 2008 R2：

      • 在任务栏上，单击“开始”，指向“管理工具”，然后单击“Internet Information Services (IIS)管理器”。

    • 如果使用的是 Windows Vista 或 Windows 7：

      • 在任务栏上，单击“开始”，然后单击“控制面板”。
      • 双击“管理工具”，然后双击“Internet 信息服务(IIS)管理器”。

  2. 在“连接”窗格中，转到要为其修改请求筛选设置的连接、站点、应用程序或目录。

  3. 在“主页”窗格中，双击“请求过滤”。
    Screenshot of the Default Web Site Home screen, showing the Failed Request Tracing Rules, Handler Mappings, and H T T P Redirect options.

  4. 在“请求筛选”窗格中，单击“标头”选项卡，然后单击“操作”窗格中的“添加标头...”。
    Screenshot of the Request Filtering pane, showing the H T T P Verbs and Headers tabs.

  5. 在“添加标头”对话框中，输入 HTTP 标头和标头限制所需的最大大小，然后单击“确定”。
    Screenshot of the Add Header dialog box, showing the Header and Size limit fields.

    例如，“Content-type”标头包含请求的 MIME 类型。 将值指定为 100 会将内容类型标头的长度限制为 100 个字节。

配置

特性

属性 说明
maxAllowedContentLength 可选 uint 属性。

指定请求中内容的最大长度，以字节为单位。

默认值为 30000000（大约 28.6MB）。
maxQueryString 可选 uint 属性。

指定查询字符串的最大长度（以字节为单位）。

默认值为 2048。
maxUrl 可选 uint 属性。

指定 URL 的最大长度（以字节为单位）。

默认值为 4096。

子元素

元素 说明
headerlimits 可选元素。

指定 HTML 标头的大小限制。

配置示例

以下 Web.config 文件示例将 IIS 配置为拒绝对如下 HTTP 请求的访问：“Content-type”标头的长度大于 100 字节。

<configuration>
   <system.webServer>
      <security>
         <requestFiltering>
            <requestLimits>
               <headerLimits>
                  <add header="Content-type" sizeLimit="100" />
               </headerLimits>
            </requestLimits>
         </requestFiltering>
      </security>
   </system.webServer>
</configuration>

代码示例

以下代码示例将 IIS 配置为拒绝对如下 HTTP 请求的访问：“Content-type”标头的长度大于 100 字节。

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.webServer/security/requestFiltering /+"requestLimits.headerLimits.[header='Content-type',sizeLimit='100']"

PowerShell

$requestLimits = Get-IISConfigSection -CommitPath 'Default Web Site' -SectionPath 'system.webServer/security/requestFiltering' | Get-IISConfigElement -ChildElementName 'requestLimits'
$headerLimits = Get-IISConfigCollection -ConfigElement $requestLimits -CollectionName 'headerLimits'
New-IISConfigCollectionElement -ConfigCollection $headerLimits -ConfigAttribute @{ 'header'='Content-Type'; 'sizeLimit'=100 }

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetWebConfiguration("Default Web Site");
         ConfigurationSection requestFilteringSection = config.GetSection("system.webServer/security/requestFiltering");
         ConfigurationElement requestLimitsElement = requestFilteringSection.GetChildElement("requestLimits");
         ConfigurationElementCollection headerLimitsCollection = requestLimitsElement.GetCollection("headerLimits");

         ConfigurationElement addElement = headerLimitsCollection.CreateElement("add");
         addElement["header"] = @"Content-type";
         addElement["sizeLimit"] = 100;
         headerLimitsCollection.Add(addElement);

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample

   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetWebConfiguration("Default Web Site")
      Dim requestFilteringSection As ConfigurationSection = config.GetSection("system.webServer/security/requestFiltering")
      Dim requestLimitsElement As ConfigurationElement = requestFilteringSection.GetChildElement("requestLimits")
      Dim headerLimitsCollection As ConfigurationElementCollection = requestLimitsElement.GetCollection("headerLimits")

      Dim addElement As ConfigurationElement = headerLimitsCollection.CreateElement("add")
      addElement("header") = "Content-type"
      addElement("sizeLimit") = 100
      headerLimitsCollection.Add(addElement)

      serverManager.CommitChanges()
   End Sub

End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site";
var requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site");

var requestLimitsElement = requestFilteringSection.ChildElements.Item("requestLimits");
var headerLimitsCollection = requestLimitsElement.ChildElements.Item("headerLimits").Collection;

var addElement = headerLimitsCollection.CreateNewElement("add");
addElement.Properties.Item("header").Value = "Content-type";
addElement.Properties.Item("sizeLimit").Value = 100;
headerLimitsCollection.AddElement(addElement);

adminManager.CommitChanges();

VBScript

Set adminManager = WScript.CreateObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Default Web Site"
Set requestFilteringSection = adminManager.GetAdminSection("system.webServer/security/requestFiltering", "MACHINE/WEBROOT/APPHOST/Default Web Site")
Set requestLimitsElement = requestFilteringSection.ChildElements.Item("requestLimits")
Set headerLimitsCollection = requestLimitsElement.ChildElements.Item("headerLimits").Collection

Set addElement = headerLimitsCollection.CreateNewElement("add")
addElement.Properties.Item("header").Value = "Content-type"
addElement.Properties.Item("sizeLimit").Value = 100
headerLimitsCollection.AddElement(addElement)

adminManager.CommitChanges()