重写URL以删除波浪号

Question

在我公司的年度安全性/渗透性测试期间，出现以下问题，涉及aspx页面的波浪号和简称文件：

这是关于该主题的白皮书。 它看起来像是一个相对较新发现的漏洞（该论文是2012年6月发布的），在该漏洞中，在url的正确位置插入波浪号可让您查找aspx文件的简称。 我正在寻找一种方法来删除对我们网站提出的Web请求中的所有波浪号，以防止出现这种情况。

白皮书建议升级到IIS 7，但这是一个重大项目，无法很快完成。 我们正在使用C＃.NET 4.0 / IIS 6.在这里有经验的人可以为我指明正确的方向吗？

Answer 1

您可以将以下代码添加到global.asax：

Protected Sub Application_BeginRequest(ByVal sender As Object, ByVal e As System.EventArgs)

    If HttpContext.Current.Request.RawUrl.Contains("~") Then
        'do whatever - eg: stip the ~ or redirect to error page
    End If

End Sub