Category: iis

0 954
這幾年蠻常用 IIS ARR 架 Reverse Proxy 或做網址重新導向(應用範例：在 ASP.NET MVC 站台使用 IIS ARR、HTTP Host Header 資安弱點防護)，由於常需在隔離環境離線安裝，我找到最簡便的做法是下載四合一組合包 Application Request ...

1 1,400
遇到接手現有網站主機、網站搬家規劃等需求，我想要有個工具可以盤點 IIS 上設了哪些網站應用程式、對映哪些 AppPool、Runtime 是 .NET 2.0 還是 4.0、哪些目錄特別設了匿名或 Winodws 整合驗證、鎖哪些來源 IP... 等種種細節。 自己許願自己實現，決定寫個 Powe...

1 3,143
前陣子分享過用 K6 跑壓力測試逼 IIS 噴出 HTTP 503，也展示如何從壓測到產出報表一氣喝成的壓力測試結果圖表自動化工具。前幾天跟同事討論被提醒 - 壓力測試畢竟是備戰演習沙盤推演，正式網站被塞爆噴 503 的案例才是最真實的情境，當下的數據更值得分析研究，更具參考價值。 圖片來源 有道...

1 4,334
有使用者反映 Chrome/Edge 無法自動登入使用 Windows 整合驗證 IIS 網站，會彈出登入對話框，敲完 AD 帳號密碼才能登入，有一部分使用者則可以用登入 Windows 的 AD 帳號自動登入，不需要敲密碼。 原以為跟上回一樣是 AD 傳輸被擋造成，但本次案例 URL 是用 IP，...

5 7,928
資安標準愈來愈嚴格，行之有年的做法現在可能被視為不夠安全。以 TLS 加密為例，加密協定中有所謂的 Cipher Suite (密碼套件)，像 SSL Labs 檢查報告便會指出網站目前用的 TLS Ciper Suite 哪些強度不夠：(資安界走模範生風格，考 99 分也要打手心呢) 處理 TL...

1 1,588
遇到近年來數一數二的吊詭茶包。 有個 ASP.NET 測試網站近日由 Windows 整合驗證改為 Forms 驗證，卻在使用者瀏覽網頁時噴出大量 4625 登入失敗事件觸發警報。測試網站屬於另測試網域，用來登入帳號則是當時操作者本機的正式網域帳號，這行為似曾相似，在 AD Domain Contr...

0 7,107
遇到一堆跟憑證有關的 Windows 服務問題，想自己架個 Windows CA 做研究，開了 VM，練習用 PowerShell 安裝 AD 及 CA 伺服器。 安裝 AD Domain Controller (AD DS)   若 Win Server 原本用 DHCP，要先改為靜態固定 IP...

1 2,077
有些 IIS 設定要靠改 web.config 完成，有些環境較一致，可以預先寫好覆寫即可，但如果更新的 web.config 有多個且內容不同，最無腦的做法是寫成操作指示請相關人員執行：「打開 web.conf，找到 system.webSesrver/httpProtocol/customHea...

0 5,924
上週以為搞定了 CORS 與 Windows 驗證不相容問題，不料還有續集，接到需求 - 呼叫端來源 URL 可能有多筆，寫 IP 也要能通。 CORS 設定時需透過 Access-Control-Allow-Origin Header 指定呼叫端 URL，而 Access-Control-Allo...

2 1,476
有個 ASP.NET 網站計劃提供兩種執行模式，「一般模式」依賴第三方服務 WebAPI 提供完整功能，當部署環境無第三方服務可用時，則透過 appSetting StandAloneMode = "Y" 切換成「獨立模式」只提供核心服務。如此一來，只需維護一份程式碼，部署時調整...

2 8,346
今天在 IIS 看到這幕楞了一下。我知道 web.config 有所謂繼承關係，但 Default Web Site 已是最上層，X-Frame-Options、X-Powered-By 是從哪裡繼承呢？ 莫非是 C:\Windows\Microsoft.NET\Framework\v4.0.30...

2 16,889
網站是否關閉 TLS 1.1/1.0 是近期資安稽查的重點項目。要知道網站的 TLS 開啟狀態，對外網站用 Qualys SSL Labs 的免費線上檢測跑一下立見分曉。 但如果是內部網站，沒對外公開 SSL Labs 網站摸不到無從檢查，怎麼辦？ 爬文找到簡便方法 - 用 openssl。 op...