sql注入算是乙個極為普通的問題了，解決方案也多如牛毛，但是新的注入方式仍然層出不窮。
目前很多iis防火牆其實質就是乙個isapi filter，針對sql注入攻擊的防禦實質就是關鍵字過濾，這一點在我以前的隨筆中提到的在開發的web server guard中也是這樣操作的。但目前大部分的iis防火牆都存在乙個漏洞：如果關鍵字包含未轉義百分比符號 (%) ，那麼將會繞過這些iis防火牆的請求過濾和攔截，包含iis 7.0的request filter。
因為這類防火牆都是查詢位於url/form/cookie中的關鍵字，比如exec。但是如果你傳入e%xec，那麼將不會被過濾，這個問題在目前已知的大部分iis防火牆（具體的就不介紹了，以免存在廣告之嫌，google搜尋即可知道）中都存在，很容易被輕易穿透。包含微軟為asp提供的一組安全過濾函式裡面同樣存在這個問題。
urlscan同樣存在這個問題，但是urlscan 3.0beta我還沒有測試過。所以大家在開發isapi request filter中要注意這一點。
iis 7.0修補程式：
乙個防禦SQL注入時需要注意的問題
sql注入算是乙個極為普通的問題了，解決方案也多如牛毛，但是新的注入方式仍然層出不窮。目前很多iis防火牆其實質就是乙個isapi filter，針對sql注入攻擊的防禦實質就是關鍵字過濾，這一點在我以前的隨筆中提到的在開發的web server guard中也是這樣操作的。但目前大部分的iis防火...
使用https的HSTS需要注意的乙個問題
hsts http strict transport security 簡單來說就是由瀏覽器進行http向https的重定向。如果不使用hsts，當使用者在瀏覽器中輸入 時沒有加https，瀏覽器會預設使用http訪問，所以對於https站點，通常會在服務端進行http至https的重定向。如果用了...
使用https的HSTS需要注意的乙個問題
hsts http strict transport security 簡單來說就是由瀏覽器進行http向https的重定向。如果不使用hsts，當使用者在瀏覽器中輸入 時沒有加https，瀏覽器會預設使用http訪問，所以對於https站點，通常會在服務端進行http至https的重定向。如果用了...