删除未使用的 HTTP 处理程序以获得更好的性能和安全性

Question

我在哪里可以获得所有默认 IIS HTTP 处理程序的功能列表？ 我需要文件！！ 我读过一些博客，出于性能和安全原因，建议删除数十个未使用的 HTTP 处理程序。

例如，建议删除 TraceHandler-Integrated 和 TraceHandler-Integrated-4.0，否则导航到 /trace.axd 会导致 500 Internal Server Error 而不是 404 Not Found，并且您不应该在生产环境中进行跟踪。

GitHub 项目（现已删除）建议手动删除大量列表的一些 HTTP 处理程序：

<system.webServer>
  <handlers>
    <remove name="TraceHandler-Integrated-4.0" />
    <remove name="TraceHandler-Integrated" />
    <remove name="AssemblyResourceLoader-Integrated-4.0" />
    <remove name="AssemblyResourceLoader-Integrated" />
    <remove name="WebAdminHandler-Integrated-4.0" />
    <remove name="WebAdminHandler-Integrated" />
    <remove name="HttpRemotingHandlerFactory-soap-ISAPI-2.0-64" />
    <remove name="svc-ISAPI-4.0_32bit" />
    <remove name="ScriptHandlerFactoryAppServices-Integrated-4.0" />
    <remove name="ScriptResourceIntegrated-4.0" />
    <remove name="svc-ISAPI-4.0_64bit" />
    <remove name="svc-Integrated-4.0" />
    <remove name="vbhtm-ISAPI-4.0_32bit" />
    <remove name="vbhtm-ISAPI-4.0_64bit" />
    <remove name="vbhtm-Integrated-4.0" />
    <remove name="vbhtml-ISAPI-4.0_32bit" />
    <remove name="vbhtml-ISAPI-4.0_64bit" />
    <remove name="vbhtml-Integrated-4.0" />
    <remove name="xamlx-ISAPI-4.0_32bit" />
    <remove name="xamlx-ISAPI-4.0_64bit" />
    <remove name="xamlx-Integrated-4.0" />
    <remove name="xoml-ISAPI-4.0_32bit" />
    <remove name="xoml-ISAPI-4.0_64bit" />
    <remove name="xoml-Integrated-4.0" />
    <remove name="HttpRemotingHandlerFactory-rem-Integrated-4.0" />
    <remove name="HttpRemotingHandlerFactory-rem-ISAPI-2.0" />
    <remove name="rules-ISAPI-4.0_32bit" />
    <remove name="rules-Integrated-4.0" />
    <remove name="HttpRemotingHandlerFactory-soap-Integrated" />
    <remove name="HttpRemotingHandlerFactory-soap-ISAPI-2.0" />
    <remove name="HttpRemotingHandlerFactory-soap-ISAPI-4.0_64bit" />
    <remove name="HttpRemotingHandlerFactory-soap-Integrated-4.0" />
    <remove name="HttpRemotingHandlerFactory-soap-ISAPI-4.0_32bit" />
    <remove name="rules-ISAPI-4.0_64bit" />
    <remove name="HttpRemotingHandlerFactory-rem-ISAPI-2.0-64" />
    <remove name="HttpRemotingHandlerFactory-rem-Integrated" />
    <remove name="HttpRemotingHandlerFactory-rem-ISAPI-4.0_32bit" />
    <remove name="HttpRemotingHandlerFactory-rem-ISAPI-4.0_64bit" />
    <remove name="AXD-ISAPI-2.0-64" />
    <remove name="cshtml-ISAPI-4.0_64bit" />
    <remove name="cshtml-Integrated-4.0" />
    <remove name="cshtm-Integrated-4.0" />
    <remove name="cshtml-ISAPI-4.0_32bit" />
    <remove name="cshtm-ISAPI-4.0_64bit" />
    <remove name="cshtm-ISAPI-4.0_32bit" />
    <remove name="AXD-ISAPI-4.0_64bit" />
    <remove name="AXD-ISAPI-2.0" />
    <remove name="AXD-ISAPI-4.0_32bit" />
    <remove name="PageHandlerFactory-ISAPI-2.0-64" />
    <remove name="PageHandlerFactory-ISAPI-2.0" />
    <remove name="PageHandlerFactory-ISAPI-4.0_64bit" />
    <remove name="PageHandlerFactory-ISAPI-4.0_32bit" />
    <remove name="aspq-ISAPI-4.0_64bit" />
    <remove name="aspq-Integrated-4.0" />
    <remove name="WebServiceHandlerFactory-ISAPI-2.0" />
    <remove name="aspq-ISAPI-4.0_32bit" />
    <remove name="WebServiceHandlerFactory-Integrated-4.0" />
    <remove name="WebServiceHandlerFactory-Integrated" />
    <remove name="SimpleHandlerFactory-ISAPI-4.0_64bit" />
    <remove name="SimpleHandlerFactory-Integrated-4.0" />
    <remove name="SimpleHandlerFactory-Integrated" />
    <remove name="SimpleHandlerFactory-ISAPI-2.0" />
    <remove name="SimpleHandlerFactory-ISAPI-2.0-64" />
    <remove name="WebServiceHandlerFactory-ISAPI-4.0_32bit" />
    <remove name="WebServiceHandlerFactory-ISAPI-4.0_64bit" />
    <remove name="WebServiceHandlerFactory-ISAPI-2.0-64" />
    <remove name="SimpleHandlerFactory-ISAPI-4.0_32bit" />
    <remove name="ISAPI-dll" />
    <remove name="ExtensionlessUrlHandler-ISAPI-4.0_64bit" />
    <remove name="ExtensionlessUrlHandler-ISAPI-4.0_32bit" />
    <remove name="OPTIONSVerbHandler" />
    <remove name="TRACEVerbHandler" />
  </handlers>
</system.webServer>

Answer 1

如果你真的想要一组最小的处理程序映射，我建议你开始清理，在你的 web.config 中删除所有处理程序并只使用 StaticFile 一个：

<system.webServer>
    <handlers>
        <clear />
         <add name="StaticFile" path="*" verb="*" modules="StaticFileModule,DefaultDocumentModule,DirectoryListingModule" resourceType="Either" requireAccess="Read" />
    </handlers>
</system.webServer>

现在添加你需要的所有处理程序，只是为了你正在运行的位数和模式。

对于基本的 MVC 项目，添加可能就足够了

  <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="GET,HEAD,POST,DEBUG" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" responseBufferLimit="0" />

---

所有的处理程序都做什么？

我也找不到任何文档，所以这是我的尝试：

处理程序映射在%SystemRoot%\System32\inetsrv\config\applicationHost.config - system.webServer/handlers中定义

就我而言，有 87 个映射。

其中 50 个是用于 ASP.NET 的modules="IsapiModule" scriptProcessor="...aspnet_isapi.dll" 。 这些涵盖了所有各种 asp.net 扩展，并且可能存在于 CLR 版本 2.0 和 4.0 以及 32 位和 64 位。 其中大多数用于经典模式。

他们通常处理以下扩展：

 *.       = ExtensionlessUrlHandler-ISAPI
 *.ashx   = SimpleHandlerFactory-ISAPI
 *.asmx   = WebServiceHandlerFactory-ISAPI
 *.aspq   = aspq-ISAPI
 *.aspx   = PageHandlerFactory
 *.axd    = AXD-ISAPI
 *.cshtm  = cshtm-ISAPI
 *.cshtml = cshtml-ISAPI
 *.rem    = HttpRemotingHandlerFactory-rem-ISAPI
 *.rules  = rules-ISAPI
 *.soap   = HttpRemotingHandlerFactory-soap
 *.svc    = svc-ISAPI
 *.vbhtm  = vbhtm-ISAPI
 *.vbhtml = vbhtml-ISAPI
 *.xamlx  = xamlx-ISAPI
 *.xoml   = xoml-ISAPI

如果您的项目不使用某些扩展，您可以删除这些处理程序。

大多数处理程序映射都有一个preCondition ，例如在 32 位应用程序池中或在经典模式下应用。 如果您只运行 64Big 集成模式，则可以删除所有经典模式和 32 位处理程序映射。

如果我们查看 Razor 视图文件的 *.cshtml，您会发现三个映射，两个用于 32/64 位的 ClassicMode，指向 ASP.NET ISAPI 模块，但第三个仅适用于集成模式并映射到 HttpForbiddenHandler，因为 MVC 路由在集成模式下的工作方式不同，并且您永远不想允许直接访问查看文件。

可能有用于经典 asp 或 CGI 的 IsapiModules，例如用于处理具有某些扩展名的文件的请求的 ASP.NET 映射。

第二大组是type="System. System.handlers，让我们看看它们：

System.Runtime.Remoting.Channels.Http.HttpRemotingHandlerFactory

以集成模式处理*.rem和*.soap文件。 如果您不使用远程处理，可以将其删除。

System.ServiceModel.Activation.HttpHandler、System.ServiceModel.Activation

处理带有*.rules,*.xoml,*.svc扩展名的某些 WCF 请求。

System.Web.Handlers.AssemblyResourceLoader

处理WebResource.axd请求，这些可能在 WebForms 中使用，但通常不在 MVC 项目中。

System.Web.Handlers.ScriptResourceHandler、System.Web.Extensions

用于处理在 WebForms 中提供 JavaScript 和 CSS 资源的ScriptResource.axd 。

System.Web.Handlers.TraceHandler

trace.axd的处理程序，用于显示 ASP.NET 跟踪信息。 在生产站点上，您要删除此处理程序。

System.Web.Handlers.TransferRequestHandler

用于在集成模式下处理无扩展请求。 这会将请求转发给路由引擎以决定如何处理这些请求。 更多信息

System.Web.Handlers.WebAdminHandler

处理WebAdmin.axd以显示ASP.NET Website Administration Toolkit ，如果您不使用该内置功能，则可以将其删除。

System.Web.HttpForbiddenHandler

允许我们阻止访问具有特定扩展名的任何文件。 然而，它返回一个 500 HTTP 状态并且实际上在服务器上抛出一个 System.Web.HttpException 异常。 在我看来，有更好的方法来博客某些扩展，例如IIS 请求过滤。

System.Web.HttpMethodNotAllowedHandler

我认为这个在现代 IIS 中不再使用，它​​返回 405 HTTP 状态并且还抛出和 HttpException

System.Web.HttpNotFoundHandler

此外，不再是我当前的配置。 它会引发 404 HTTP 异常。

System.Web.Script.Services.ScriptHandlerFactory、System.Web.Extensions

处理*.asmx和*_AppService.axd以支持通过 Ajax 调用 Web 服务。

System.Web.Services.Protocols.WebServiceHandlerFactory、System.Web.Services

还以集成模式处理 DOT.NET 2 的*.asmx Web 服务请求

System.Web.StaticFileHandler

返回一个静态文件，不再使用？

System.Web.UI.PageHandlerFactory

以集成模式处理 ASP.NET WebForm 页面.aspx 。

System.Web.UI.SimpleHandlerFactory

在集成模式下处理 ASP.NET 自定义处理程序.ashx 。

System.Xaml.Hosting.XamlHttpHandlerFactory、System.Xaml.Hosting

以集成模式处理 Windows Workflow Foundation 服务.xamlx 。

---

更多处理程序：

modules="StaticFileModule,DefaultDocumentModule,DirectoryListingModule"

这通常是处理任何先前的句柄path="*" verb="*"未处理的任何请求的最后一个映射。 它实际上使用了三个不同的模块。 StaticFileMode 查找与请求的 URL 匹配的物理文件，如果找不到，DefaultDocumentModule 会在与请求的 URL 相同的文件夹中查找默认文档，如果也找不到，DirectoryListingModule 可能会显示目录的内容，如果启用。

模块="协议支持模块"

这将处理 HTTP 动词TRACE和OPTIONS的所有请求，如果您删除此映射，所有跟踪和选项请求将返回“405 Method not allowed”

Answer 2

对此的回答：

我在哪里可以获得所有默认 IIS HTTP 处理程序的列表？

打开 IIS，CMD-->inetmgr，然后点击处理程序映射，见下面的截图。

单击它，它将显示该 Web 服务器的所有默认启用的 HTTP 处理程序。

注意：当您选择一个虚拟目录然后执行此过程时，即单击处理程序映射，并删除其中一个映射，它将在 web.config 中添加该行。

例如，我删除aspq-ISAPI-4.0_64bit ，因此它更改了该虚拟目录的web.config ，即它在 web.config 中添加了以下行。

<remove name="aspq-ISAPI-4.0_64bit" />在system.webServer\handlers下。

更新：当特定文件类型请求到来时调用此处理程序，直到它处于空闲状态。 所以这些处理程序不会有任何性能问题。

例如，您removing handler for *.axd will improve security ，我对此的回答是，某些 DLL 可能需要这些文件来呈现 js 和 css，如果您删除它，它将无法正常工作。 例如 - HTTP 处理程序在嵌套的 Web 应用程序文件夹中找不到 axd 文件：Telerik RadScriptManager 在 ~/admin/ 文件夹中找不到 WebResource.axd

Answer 3

上周我遇到了同样的问题，经过大量研究，我认为我在 GitHub 中发现了类似的东西：

“不安全处理程序”列表： https ://gist.github.com/marcbarry/47644b4a43fbfb63ef54