IIS

上週為了讓同事拉一份檔案，我在測試機上把 IIS 專案資料夾開了個進階共用。東西傳完後我把共用關掉，繼續回頭改別的東西。 十分鐘後測試站同事回訊息：整個網站 HTTP 401，連 /favicon.ico 都打不開。 我第一個念頭是「我剛剛根本沒動 web.config 啊？」然後花了半小時繞遠路——這篇就是想分享這個坑，因為症狀跟原因之間的距離遠到不合理。 症狀 瀏覽器吃到 401 Unauthorized 連 CSS、圖片這類靜態檔都 401 IIS 沒有動過站點設定 專案程式碼沒動過 App Pool 跑得好好的，沒當機、沒停 重啟 IIS 沒用 翻開 IIS 記錄（C:\inetpub\logs\LogFiles\W3SVC...），關鍵那行： 12sc-status: 401sc-substatus: 3 401.3 的官方說明是 「Access is denied due to an ACL set on the requested resource」——翻譯：這不是 IIS 驗證設定的問題，是 NTFS 層級擋下來的。 我第一個走錯的方向本能反應是去翻 App...

前情提要：突如其來的測試環境危機最近台電因為白帽滲透測試的關係，需要暫時關閉測試機。但開發團隊偶爾還是需要測試環境來驗證功能，於是我們決定把程式架在其他環境上。原本想說簡單設個 IIS IP 白名單就能解決，沒想到踩到了一個大坑... 問題出現：IP 白名單完全失效當我興高采烈地在 IIS 管理器中設定「IP 位址及網域限制」，把信任的 IP 加入白名單後，發現一個詭異的現象： 設定為「允許所有」→ 正常運作 ✅ 設定為「拒絕未指定，只允許白名單」→ 所有人都 403 錯誤 ❌ 檢查 IIS Log 後發現真相大白： 1c-ip: 192.168.0.28 # 所有請求都顯示這個 IP！ 原來所有外部請求都是透過 192.168.0.28 這台 Proxy Relay 伺服器轉發過來的。IIS 只看得到代理伺服器的 IP，完全拿不到真實的客戶端 IP。 深入追查：尋找真實 IP 的蹤跡建立一個簡單的測試頁面來檢查所有可能的 HTTP 標頭： 123456789101112<%@ Page Language="C#"...

Google Search Console簡介什麼是Google Search Console?Google Search Console(前身為Google網站管理員工具)是Google提供的免費網站監控與管理工具。它能協助網站管理員: 監控網站在Google搜尋中的表現 接收網站問題的警示通知 確認網站的擁有權 提交網站地圖(Sitemap) 查看網站的爬蟲數據 為什麼需要使用Search Console?當網站遭受攻擊時,Search Console特別重要: 及時接收安全性警示 確認網站的真實擁有者 要求Google重新檢索網站內容 監控異常的搜尋結果 如何開始使用? 前往Google Search Console 使用Google帳號登入 點選「新增資源」 輸入您的網站網址 選擇驗證方式 本文章採用HTML 標記 驗證方式 DNS污染攻擊說明什麼是DNS污染?DNS(Domain Name System)污染是一種網路攻擊手法,攻擊者會: 修改DNS伺服器的設定 將使用者導向惡意網站 植入廣告或惡意程式碼 ...

前言在進行資安弱點掃描時，是否經常遇到 SSL/TLS 相關的問題？手動修改 Windows 註冊表來調整加密設定，不僅繁瑣還充滿風險。今天要介紹的 IISCrypto 工具，讓你輕鬆解決這些問題！ 什麼是 IISCrypto？IISCrypto 是一款由 Nartac Software 開發的免費工具，專門用於管理 Windows 伺服器的 SSL/TLS 設定。它提供了直覺的圖形化介面，讓管理員能夠輕鬆調整加密協定、加密套件和雜湊演算法的設定，無需直接修改系統註冊表。 為什麼需要 IISCrypto？資安合規需求現代的資安標準（如 PCI DSS）要求停用過時的加密協定（如 SSL 2.0/3.0），並強制使用更安全的 TLS 1.3。 弱點掃描需求常見的資安掃描工具（如 Qualys、Acunetix）會檢查伺服器是否使用不安全的加密設定，這些問題都能透過 IISCrypto 輕鬆解決。 效率提升相較於手動修改註冊表，使用 IISCrypto 可以： 大幅減少人為錯誤風險 節省設定時間 方便進行設定備份和還原 主要功能 協定管理 停用不安全的 SSL...

IIS 網站突然狂丟403錯誤！原來是安全性設定在搞鬼前言某一天，系統突然開始出現詭異的現象：使用者報告網站時好時壞，重新整理一次可能好，但下一秒又壞了。查看錯誤日誌發現大量的 403 Forbidden 錯誤，但最讓人困惑的是 ，同一個檔案，有時候能載入，有時候卻被封鎖。這到底是怎麼回事？然後就開始尋找問題可能的原因 1. 檔案/資料夾權限設定問題: 確認網站資料夾的 NTFS 權限是否正確 IIS_IUSRS 和 IUSR 使用者需要有讀取權限 Application Pool 身份對網站目錄需要有讀取權限 2. IIS 設定檢查: 在 IIS 管理員中確認網站的身份驗證設定 檢查是否啟用了正確的驗證方式(如匿名驗證) 確認網站綁定設定是否正確 結果確認之後都無法解決。 問題的關鍵：動態 IP...