Perché si sta utilizzando un URL contenente un colon considerato come "richiesta potenzialmente pericolosa"?

Question

Qualcuno (probabilmente un bot) ha inviato una richiesta con il seguente URL per la mia ASP.NET 4.0 applicazione web form (in esecuzione su IIS 7.0):

http://ipaddress-of-my-applications-domain/bla1.bla2.bla3.bla4.bla5:)

Questo ha causato un System.Web.HttpException. Ho ricevuto una e-mail di registrazione da ASP.NET healthMonitoring avevo configurato, dicendomi:

Un valore Request.Path potenzialmente pericoloso è stato rilevato dal client (:).

traccia stack è stato:

System.Web.HttpRequest.ValidateInputIfRequiredByConfig() 
System.Web.HttpApplication.PipelineStepManager.ValidateHelper(HttpContext context) 

Perché è un colon nell'URL "potenzialmente pericolosi"? Quali cose pericolose possono essere fatte con un tale URL? Ho qualche buco di sicurezza qui di cui non sono a conoscenza?

Grazie per la spiegazione in anticipo!

Modifica

Ho provato che i due punti in una stringa di query (come http://mydomain.com?Test=9:)) non provoca questa eccezione.

Answer 1

Su NTFS, un dato filepath può avere più flussi di dati associati. Oltre al flusso principale, noto anche come $DATA, ce ne possono essere altri, in genere utilizzati per memorizzare metadati come il marcatore della zona Internet nei file scaricati.

Alternate Data Streams si accede utilizzando un separatore di due punti, ad es. file.dat:$DATA è un modo alternativo per dire file.dat. La presenza di ADS attraverso il Web ha causato alcuni problemi di sicurezza in passato in Microsoft (ad esempio, restituendo il codice sorgente delle pagine ASP invece di eseguirli), quindi per precauzione stanno bloccando l'uso dei due punti nel percorso parte del URL, poiché la parte del percorso viene spesso mappata al filesystem (sebbene non nel tuo caso). È meno probabile che si verifichi dalla stringa di query, quindi non è bloccato lì.

Questo è lontano dal peggiore falso positivo che la convalida della richiesta genererà. Le sue caratteristiche anti-iniezione sono molto peggiori. Personalmente lo disabiliterei sempre, in quanto è una stupida funzionalità che non può mai rendere sicura la tua webapp; solo la giusta attenzione alla fuga delle stringhe (e alla pesante sanificazione di tutto ciò che si intende utilizzare come nome file) può farlo.

Ci sono altri caratteri che anche se si disattiva la convalida della richiesta non è possibile inserire una parte di percorso per scopi di routing. In particolare, le barre (%2F, %5C e le sequenze di byte che non sarebbero valide per le lunghe sequenze UTF-8 che si risolvono con lo stesso) e il byte zero. È meglio essere prudenti su ciò che metti in percorsi in generale.

Answer 2

Ciò è dovuto alla funzionalità di convalida della richiesta di ASP.NET, che impedisce ai client di attaccare il tuo sito web. La funzione è abilitata per impostazione predefinita.

Il seguente link spiega meglio: http://www.asp.net/learn/whitepapers/request-validation