如何阻止来自 IIS7 中托管的 ASP.NET MVC 1.0 应用程序内部对所有 *.php、*.cgi 等页面的请求？

Question

我想阻止对任何 .php 或 .cgi 的请求，无论路径信息如何。

例如，当使用以下 url 时：

http://mysite/Admin/Scripts/Setup.php

它与现有路由匹配：

routeCollection.MapRoute("Admin", "admin/{controller}/{action}/{uid}/{*pathInfo}", new { controller = "Admin", action = "Index", uid = "" });

但是没有脚本控制器，因此 MVC 抛出以下内容：

IControllerFactory '' 做到了 不返回控制器 名为“scripts”的控制器。

我真正喜欢的是，在 MVC 到达控制器之前，该请求就简单地遇到了硬故障。

我知道我可以通过在 Global.asax 中挂钩 Application_BeginRequest 并抛出一个新的 HttpException(404, "Not Found") 来做到这一点，但这并不是我正在寻找的优雅解决方案。

我真的希望这会起作用：

routeCollection.IgnoreRoute("{resource}.php/{*pathInfo}");

但事实并非如此。

注意：Sean Lynch 的答案非常有效，但我仍然非常喜欢基于 System.Web.Routing 或 System.Web.Mvc 的解决方案。这样我就可以允许我的用户在运行时添加他们自己的排除项。

Answer 1

我知道这是一篇旧帖子，但如果您正在寻找 php 请求（和其他一些请求）的忽略路由，包括子文件夹中的请求，那么我发现下面的代码效果很好（改编自 忽略 Phil Haack 发布的路由）

我还为偶尔的苹果触摸图标请求添加了特定的忽略路由（对不同尺寸使用通配符），并允许 favicon 使用不同的文件扩展名（Google 工具栏和其他一些浏览器查找 png 和 gif 图标）。

当然，您可以为所有图像文件扩展名添加忽略路由，但就我而言，我仍然想路由一些其他请求。

routes.IgnoreRoute("{*allphp}", new { allphp = @".*\.php(/.*)?" });
routes.IgnoreRoute("{*allcgi}", new { allcgi = @".*\.cgi(/.*)?" });
routes.IgnoreRoute("{*allaspx}", new { allaspx = @".*\.aspx(/.*)?" });

routes.IgnoreRoute("{*favicons}", new { favicons = @".*favicon\.(ico|gif|png)(/.*)?" });
routes.IgnoreRoute("{*allappleicon}", new { allappleicon = @"apple-touch-icon-.*\.png(/.*)?" });

尽管有这些忽略路由，但我仍然认为，如果您有权执行此操作，则最好对 php 文件使用请求阻止。

Answer 2

如果您的托管提供商支持 IIS7 URL 重写模块，那么您可以查看此链接：

http://learn.iis.net/page.aspx/499/request-blocking---rule-template/

这里更新的是您将在 web.config 中放入的内容系统.网络服务器部分：

<system.webServer>
    <rewrite>
        <rules>
            <rule name="RequestBlockingRule1" patternSyntax="Wildcard">
                <match url="*" />
                <conditions>
                    <add input="{URL}" pattern="*.php*" />
                </conditions>
                <action type="CustomResponse" statusCode="403" />
            </rule>
        </rules>
    </rewrite>
</system.webServer>

Answer 3

我发现如何忽略asp.net表单url中的路由路由可能适用于此，它使用 StopRoutingHandler 类，只要对 .php 的请求确实通过路由运行，这可能会起作用。

如果 .php 请求没有通过路由处理程序，那么这可能不起作用。

Answer 4

您可以使用 Microsoft 的 UrlScan ISAPI Filter 在这些扩展到达 IIS 之前将其阻止。