上個月有個客戶提到他們從後台上傳的檔案不知為何在前台就是看不到，我查看了一下發現檔名中有個加號 ( + )，但奇怪的是原本網站明明就是好的。後來我才想起來客戶最近主機升級了，從 Windows Server 2003 升級到 Windows Server 2008 R2，可能是因為這樣才導致這個問題發生，我研究了一會兒終於明白問題發生的原因，並不是 IIS7 有問題，而是變的更安全了，也因為這個問題讓我更加意識到在實做檔案上傳功能時應該注意到的事情！
... 繼續閱讀 ...
真糟糕，知名的「許功蓋」又再次重出江湖，這次出現的地方竟然是 URLScan 工具，我知道有許多專業網管人員都會安裝 URLScan 到網站主機用以提供基礎網站安全防禦，但是當遇到開發人員將網站開發完要上線時無辜的被 URLScan 阻擋時，不瞭解的網管或客戶還可能會以為是程式出問題，而讓軟體工程師改程式改到地老天荒…
... 繼續閱讀 ...
這應該是我第二次替客戶處理 UrlScan 的問題了，就如同我在之前寫的文章裡提到的：「如果你為了要讓 Web 應用程式更安全，但卻不想研讀每個參數設定的話，強烈建議你乾脆就不要安裝，因為裝上去之後是有可能讓你的網站部分功能失效的」。果然如此，昨天又再次遇到客戶因為安裝了 UrlScan 導致網站許多頁面回應 HTTP 404 找不到網頁的錯誤。
... 繼續閱讀 ...
WAF ( Web Application Firewall, Web 應用程式防火牆 ) 這個名詞越來越夯了，因為 Web 應用程式越來越普及，相對的 Web 安全性的議題也越來越受重視，在市面上已經有不少 WAF 相關防護工具，免費的、付費的、Linux 平台的、Windows 平台的都有，今天我就來介紹一套由微軟提供的入門級 WAF 工具：UrlScan Security Tool ( 這連結是介紹 UrlScan 2.5 的功能，但目前最新版是 UrlScan 3.1 版)。
... 繼續閱讀 ...