Category: iis

資安標準愈來愈嚴格,行之有年的做法現在可能被視為不夠安全。以 TLS 加密為例,加密協定中有所謂的 Cipher Suite (密碼套件),像 SSL Labs 檢查報告便會指出網站目前用的 TLS Ciper Suite 哪些強度不夠:(資安界走模範生風格,考 99 分也要打手心呢) 處理 TL...

遇到近年來數一數二的吊詭茶包。 有個 ASP.NET 測試網站近日由 Windows 整合驗證改為 Forms 驗證,卻在使用者瀏覽網頁時噴出大量 4625 登入失敗事件觸發警報。測試網站屬於另測試網域,用來登入帳號則是當時操作者本機的正式網域帳號,這行為似曾相似,在 AD Domain Contr...

遇到一堆跟憑證有關的 Windows 服務問題,想自己架個 Windows CA 做研究,開了 VM,練習用 PowerShell 安裝 AD 及 CA 伺服器。 安裝 AD Domain Controller (AD DS)   若 Win Server 原本用 DHCP,要先改為靜態固定 IP...

有些 IIS 設定要靠改 web.config 完成,有些環境較一致,可以預先寫好覆寫即可,但如果更新的 web.config 有多個且內容不同,最無腦的做法是寫成操作指示請相關人員執行:「打開 web.conf,找到 system.webSesrver/httpProtocol/customHea...

上週以為搞定了 CORS 與 Windows 驗證不相容問題,不料還有續集,接到需求 - 呼叫端來源 URL 可能有多筆,寫 IP 也要能通。 CORS 設定時需透過 Access-Control-Allow-Origin Header 指定呼叫端 URL,而 Access-Control-Allo...

有個 ASP.NET 網站計劃提供兩種執行模式,「一般模式」依賴第三方服務 WebAPI 提供完整功能,當部署環境無第三方服務可用時,則透過 appSetting StandAloneMode = "Y" 切換成「獨立模式」只提供核心服務。如此一來,只需維護一份程式碼,部署時調整...

今天在 IIS 看到這幕楞了一下。我知道 web.config 有所謂繼承關係,但 Default Web Site 已是最上層,X-Frame-Options、X-Powered-By 是從哪裡繼承呢? 莫非是 C:\Windows\Microsoft.NET\Framework\v4.0.30...

網站是否關閉 TLS 1.1/1.0 是近期資安稽查的重點項目。要知道網站的 TLS 開啟狀態,對外網站用 Qualys SSL Labs 的免費線上檢測跑一下立見分曉。 但如果是內部網站,沒對外公開 SSL Labs 網站摸不到無從檢查,怎麼辦? 爬文找到簡便方法 - 用 openssl。 op...

小閃光提供茶包一枚 - 速食店網站在 Android 手機 Chrome 瀏覽時出現憑證無效警示,但在電腦(Windows 10)用 Chrome 檢視卻完全正常。 陸續試了家中幾支 Android 手機跟平板,清一色得到相同 ERR_CERT_AUTHORITY_INVALID 警告訊息。我初步...

昨天的 .NET 探索 - HttpWebRequest 如何重複使用 TCP 連線?提到: Windows 整合式驗證(Kerberos)會與連線關聯,若程序修改 WebRequest.Credentials 同時以不同身份連上 IIS 主機,記得要指定 WebRequest.Connectio...

我有個需要中介伺服器轉接 WebAPI 請求的情境,ApWeb 主機與 ApiWeb 主機間網路不互通,故需要在中間網段架設 Proxy 串接,之前玩過 IIS ARR ,打算找台 IIS 設成 Reverse Proxy 負責轉送 ApWeb 主機發出的 WebAPI 請求。ARR 之前已設過幾次...