DetailPage-MSS-KB

Knowledge Base

Artikel-ID: 2622172 - Geändert am: Donnerstag, 6. Oktober 2011 - Version: 2.0

Hotfix-Download ist verfügbar
Hotfix-Downloads anzeigen und anfordern
 
 
Wichtig Dieser Artikel enthält Informationen, die Ihnen zeigt, wie Sie Sicherheitseinstellungen herabsetzen oder Sicherheitsfunktionen auf einem Computer deaktivieren. Sie können diese Änderungen ein bestimmtes Problem zu umgehen. Bevor Sie diese Änderungen vornehmen, empfehlen wir, dass Sie die Risiken, die abzuschätzen mit der Implementierung dieses Verfahrens in Ihrer speziellen Umgebung verbunden sind. Falls Sie dieses Verfahren einsetzen, sollten Sie alle geeigneten Zusatzschritte aus, um den Computer zu schützen.

Problembeschreibung

Betrachten Sie das folgende Szenario:
  • Veröffentlichen Sie eine Webseite über Microsoft Internet Security and Acceleration (ISA) Server 2006 mithilfe formularbasierter Authentifizierung.
  • Diese Webseite wird zugreifen, mithilfe einen URL, die ein Escapezeichen ("% 0 D") der Wagenrücklauf oder ein Zeilenvorschub ("% 0A") in der URL enthält.

In diesem Szenario wird ISA Server 2006 blockiert den Zugriff auf die URL. Darüber hinaus zeigen die ISA-Web-Proxy-Protokolle einen Ergebniscode von 12232 für die Anforderung verweigert.

Hinweis Denken Sie daran, dieses Ergebniscode kann auch aufgrund von anderen Problemen protokolliert werden, die der URL, der angemeldet ist, müsste für überprüft werden % 0a oder d % 0 Zeichen, um festzustellen, ob dies das Problem ist, das Sie erlebt.

Ursache

Dieses Problem tritt auf, weil der Filter für die formularbasierte Authentifizierung bekannte Cross-Site scripting und damit verbundene Angriffe blockiert. In diesem Fall wird der Filter blockiert-Response-splitting-Angriffe, die auch Wagenrückläufe oder Zeilenvorschübe enthalten. Gültige URLs können jedoch auch diese Zeichen umfassen. Beispielsweise ist IBM Rational Clearquest-Anwendung bekannt, Wagenrückläufe oder Zeilenvorschübe in seiner URLs verwenden.

Lösung

Um dieses Problem zu beheben, installieren Sie ISA Server 2006 Hotfix Rollup Package, das beschrieben wird im folgenden Artikel der Microsoft Knowledge Base:
2616326  (http://support.microsoft.com/kb/2616326/ ) Beschreibung des Hotfix-Pakets von ISA Server 2006: September 2011

Weitere Informationen

Warnung Diese Vorgehensweise kann ein Computer oder ein Netzwerk möglicherweise anfälliger für Angriffe durch böswillige Benutzer oder gefährlicher Software wie etwa Viren machen. Wir empfehlen nicht, dass dieses Verfahren jedoch sind diese Informationen bereitstellen, damit Sie dieses Verfahren in Ihrem eigenen Ermessen implementieren können. Verwenden Sie dieses Verfahren auf Ihr eigenes Risiko.

Das folgende Skript wird deaktivieren das Standardverhalten in ISA Server 2006 Service Pack 1 und Aktivieren des ISA Servers die URLs zu ermöglichen, die Wagenrücklauf (CR) oder Zeilenvorschubzeichen (LF) in der URL-Adresse enthalten. Gehen folgendermaßen Sie vor um dieses Skript verwenden.

WichtigHinweis Deaktivieren dieses Standardverhalten von ISA Server 2006 SP1 (um solche Anwendungen gerecht zu werden) kann ISA Server möglicherweise die URLs zulassen, die für "Cross-Site Request Forgery" Angriffe speziell zusammengestellt wurden haben, wenn ISA Server die formularbasierte Authentifizierung verwendet auch aktivieren.
  1. Starten Sie den Editor.
  2. Fügen Sie das folgende Skript in ein neues Dokument.
    Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
    Const SE_VPS_NAME = "AllowNewlineInURL"
    Const SE_VPS_VALUE = true
     
    Sub SetValue()
     
        ' Create the root object.
        Dim root  ' The FPCLib.FPC root object
        Set root = CreateObject("FPC.Root")
     
        'Declare the other objects needed.
        Dim array       ' An FPCArray object
        Dim VendorSets  ' An FPCVendorParametersSets collection
        Dim VendorSet   ' An FPCVendorParametersSet object
     
        ' Get references to the array object
        ' and to the network rules collection.
        Set array = root.GetContainingArray
        Set VendorSets = array.VendorParametersSets
     
        On Error Resume Next
        Set VendorSet = VendorSets.Item( SE_VPS_GUID )
     
        If Err.Number <> 0 Then
            Err.Clear
     
            ' Add the item
            Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
            WScript.Echo "New VendorSet added... " & VendorSet.Name
     
        Else
            WScript.Echo "Existing VendorSet found... value- " &  VendorSet.Value(SE_VPS_NAME)
        End If
     
        if VendorSet.Value(SE_VPS_NAME) <> SE_VPS_VALUE Then
     
            Err.Clear
            VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
     
            If Err.Number <> 0 Then
                CheckError
            Else
                VendorSets.Save false, true
                CheckError
     
                If Err.Number = 0 Then
                    WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
                End If
            End If
        Else
            WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
        End If
     
    End Sub
     
    Sub CheckError()
     
        If Err.Number <> 0 Then
            WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
            Err.Clear
        End If
     
    End Sub
     
    SetValue
  3. Auf der Datei Menü, klicken Sie auf Speichern als, und speichern Sie die Datei als AllowNewlineInURL.vbs.
  4. Geben Sie den folgenden Befehl an einer Eingabeaufforderung, und drücken Sie dann die EINGABETASTE:
    Cscript AllowNewlineInURL.vbs
Um wieder zu das Standardverhalten in ISA Server 2006 Service Pack 1 URLs blockieren, die möglicherweise siteübergreifende Anforderungsfälschungsangriffe enthalten, wenn Sie formularbasierte Authentifizierung verwenden, gehen Sie folgendermaßen vor:
  1. Starten Sie Editor, und öffnen Sie das Skript AllowNewlineInURL.vbs.
  2. Suchen Sie die folgende Codezeile in das Skript.
    Const SE_VPS_VALUE = true
    
  3. Ändern Sie den Code, um die folgende Zeile:
    Const SE_VPS_VALUE = false
    
  4. Auf der Datei Menü, klicken Sie auf Speichern.
  5. Geben Sie den folgenden Befehl an einer Eingabeaufforderung, und drücken Sie dann die EINGABETASTE:
    Cscript AllowNewlineInURL.vbs

Status

Microsoft hat bestätigt, dass dies ein Problem in Microsoft-Produkten, die im Abschnitt "Gilt für" aufgeführt sind.

Informationsquellen

Weitere Informationen zur Terminologie für Softwareupdates finden Sie in folgendem Artikel der Microsoft Knowledge Base anzuzeigen:
824684  (http://support.microsoft.com/kb/824684/ ) Beschreibung der Standardterminologie, die zum Beschreiben von Microsoft-Softwareupdates verwendet wird

Die Informationen in diesem Artikel beziehen sich auf:
  • Microsoft Internet Security and Acceleration Server 2006 Service Pack 1, wenn verwendet mit:
    • Microsoft Internet Security and Acceleration Server 2006 Enterprise Edition
    • Microsoft Internet Security and Acceleration Server 2006 Standard Edition
Keywords: 
kbfix kbqfe kbexpertiseadvanced kbsurveynew kbhotfixserver kbhotfixrollup kbmt KB2622172 KbMtde
Maschinell übersetzter ArtikelMaschinell übersetzter Artikel
Wichtig: Dieser Artikel wurde maschinell und nicht von einem Menschen übersetzt. Die Microsoft Knowledge Base ist sehr umfangreich und ihre Inhalte werden ständig ergänzt beziehungsweise überarbeitet. Um Ihnen dennoch alle Inhalte auf Deutsch anbieten zu können, werden viele Artikel nicht von Menschen, sondern von Übersetzungsprogrammen übersetzt, die kontinuierlich optimiert werden. Doch noch sind maschinell übersetzte Texte in der Regel nicht perfekt, insbesondere hinsichtlich Grammatik und des Einsatzes von Fremdwörtern sowie Fachbegriffen. Microsoft übernimmt keine Gewähr für die sprachliche Qualität oder die technische Richtigkeit der Übersetzungen und ist nicht für Probleme haftbar, die direkt oder indirekt durch Übersetzungsfehler oder die Verwendung der übersetzten Inhalte durch Kunden entstehen könnten.
Den englischen Originalartikel können Sie über folgenden Link abrufen: 2622172  (http://support.microsoft.com/kb/2622172/en-us/ )
Microsoft stellt Ihnen die in der Knowledge Base angebotenen Artikel und Informationen als Service-Leistung zur Verfügung. Microsoft übernimmt keinerlei Gewährleistung dafür, dass die angebotenen Artikel und Informationen auch in Ihrer Einsatzumgebung die erwünschten Ergebnisse erzielen. Die Entscheidung darüber, ob und in welcher Form Sie die angebotenen Artikel und Informationen nutzen, liegt daher allein bei Ihnen. Mit Ausnahme der gesetzlichen Haftung für Vorsatz ist jede Haftung von Microsoft im Zusammenhang mit Ihrer Nutzung dieser Artikel oder Informationen ausgeschlossen.
Freigeben
Weitere Supportoptionen
Microsoft Community-Supportforen
Kontaktieren Sie uns direkt
Zertifizierten Partner finden
Microsoft Store
Folgen Sie uns: