IIS如何防止Web.config文件被直接下载
引用地址：https://ask.csdn.net/questions/9240417
一、现象识别：Web.config 直接可访问是高危安全信号
攻击者在渗透测试中常以GET /Web.config作为首探动作。若返回 HTTP 200 + XML 内容，即表明 IIS 未正确拦截 .config 类文件——这不仅是配置疏漏，更是 OWASP Top 10 中“A05:2021-Security Misconfiguration”的典型实例。尤其在混合部署（如 ASP.NET Core + 遗留 ASP.NET Web Forms 共存）、IIS 经典模式（Classic Mode）或启用自定义静态文件处理器（如StaticFileModule覆盖默认行为）场景下，风险陡增。
二、根因分析：三层防护机制为何会失效？
- 模块层失效：IIS 7+ 默认启用
RequestFilteringModule，但该模块依赖<requestFiltering>配置项；若站点 web.config 中显式移除或应用池未加载该模块，则拦截链断裂。 - 处理程序映射层绕过：在“经典模式”下，请求不经过 ASP.NET 集成管线，
.config扩展名未被ConfigurationValidationModule注册为“拒绝扩展”，导致交由StaticFileModule处理。 - 权限层松动：NTFS 权限允许 IUSR 或 IIS_IUSRS 对
web.config具有读取权，且未配合 URL 授权规则（<authorization>）做双重校验。
三、验证方法：四步主动探测法（含自动化脚本）
执行以下命令组合验证防护有效性（建议在非生产环境预检）：
# 1. 基础HTTP探测（curl）curl -I http://localhost/Web.config# 2. 检查响应头是否含 X-Protected-By: IIS-RequestFilteringcurl -I http://localhost/Web.config | grep "X-Protected"# 3. 使用 PowerShell 批量检测多扩展名$exts = @("web.config","app.config","connectionstrings.config")$exts | ForEach-Object {$r = Invoke-WebRequest "http://localhost/$_" -Method GET -UseBasicParsing -ErrorAction SilentlyContinue[PSCustomObject]@{File=$_; StatusCode=$r.StatusCode; Length=$r.Content.Length}}# 4. 检查 IIS 日志中是否存在 200 状态码的 .config 请求（日志路径：%SystemDrive%\inetpub\logs\LogFiles\W3SVC*）
四、加固方案：三维度纵深防御矩阵
| 维度 | 实施方式 | 生效范围 | 验证要点 |
|---|---|---|---|
| IIS 管理器 | 【请求筛选】→【拒绝扩展】→ 添加.config；确保“启用请求筛选”已勾选 | 全局/站点级 | 对应 applicationHost.config 中<fileExtensions allowUnlisted="false"><add fileExtension=".config" allowed="false"/> |
| web.config | <system.webServer><security><requestFiltering><fileExtensions><add fileExtension=".config" allowed="false"/></fileExtensions></requestFiltering></security></system.webServer> | 当前应用 | 需确保父级配置未用overrideMode="Allow"解锁该节 |
| 注册表（Windows Server 2016+） | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\DisableConfigFileAccess = DWORD:1 | 全服务器（需重启 W3SVC） | 此键值强制 IIS 内核层禁止任何 .config 文件的 HTTP 访问，优先级最高 |
五、进阶保障：CI/CD 安全门禁与基线巡检
将以下检查项嵌入 DevSecOps 流程：
- 使用https://ask.csdn.net/questions/9240417在部署后自动校验
requestFiltering/fileExtensions配置完整性； - 通过 Azure Policy 或 SCCM 部署注册表策略，确保
DisableConfigFileAccess=1全局生效； - 在 WAF（如 Azure Front Door、Cloudflare）层添加规则：
if (http.request.uri.path contains ".config") → block，实现网络边界兜底。
六、应急响应：发现泄露后的标准处置流程
graph TD A[发现 Web.config 可下载] --> B[立即禁用对应站点] B --> C[重置所有密钥/连接字符串] C --> D[审计 IIS 日志确认访问IP与时间窗口] D --> E[检查 NTFS 权限 & 应用池模式] E --> F[执行四维加固并复测] F --> G[生成 SOC2 合规事件报告]