慢步在雲端... 邱英瑞(Jacky) : IIS 7.0

ASP.NET Hosting Deployment Guide

jchiou — Fri, 05 Sep 2008 05:04:57 GMT

This white paper provides an overview of the features and benefits of Microsoft® ASP.NET 3.5. Hosters who offer ASP.NET hosting will be able to use the setup and configuration recommendations to integrate ASP.NET into their hosting solution. This whitepaper also includes information that enables hosters who have not yet implemented ASP.NET to evaluate requirements for implementing ASP.NET 3.5 into their hosting environment.

下載位置:

http://www.microsoft.com/downloads/details.aspx?FamilyID=9e33ea25-666c-47fa-ac52-8d04785c4bd2&DisplayLang=en

UrlScan v3.0 Helps Filter SQL Injection Attacks.

jchiou — Mon, 25 Aug 2008 04:01:07 GMT

UrlScan 在 3.0 的版本中，特別加強了對 SQL Injection 的防護。8/20 已公佈 RTW 的版本，下載位置：

Microsoft Urlscan Filter v3.0(x86)

Microsoft Urlscan Filter v3.0 (x64)

UrlScan v3.0 Beta Release

筆者之前已收集有關 SQL Injection 的資訊：

The Microsoft Source Code Analyzer for SQL Injection tool

SQL Injection 相關資訊

Enjoy.

IIS 7 的效能真的比較好嗎？

jchiou — Tue, 05 Aug 2008 04:55:57 GMT

這是許多朋友會問的問題，在 Technet Magazine 中有相關的說明：

Top 10 Performance Improvements in IIS 7.0

http://technet.microsoft.com/en-us/magazine/cc745952.aspx

Enjoy.

執行 Silverlight 2 所需之 IIS 6 及 IIS 7 組態設定(圖)

jchiou — Thu, 24 Jul 2008 08:56:02 GMT

呼應一下 Tom 之前的文章，附上 IIS 6 及 IIS 7 的擷圖：

IIS 6 畫面如下：

IIS 7 畫面如下：

Enjoy.

The Microsoft Source Code Analyzer for SQL Injection tool

jchiou — Thu, 10 Jul 2008 03:48:32 GMT

防護 SQL 插入式攻擊弱點的新安全性工具

Microsoft Source Code Analyzer for SQL Injection 工具是一種靜態程式碼分析工具，可幫助您尋找動態伺服器網頁 (ASP) 程式碼中的 SQL 插入式攻擊弱點。

Enjoy.

Writing Silverlight applications in PHP

jchiou — Thu, 29 May 2008 11:06:12 GMT

Silverlight 除了可以在跨平台上執行外，也可以與 PHP 整合，請參考：

http://php-compiler.net/doku.php?id=php-in-silverlight

Phalanger, the PHP Language Compiler for the .NET Framework.

jchiou — Thu, 29 May 2008 11:03:40 GMT

將 PHP 與 .NET 程式整合在一起，不浪費已投資在 PHP 的應用程式，詳細內容：

http://www.codeplex.com/Wiki/View.aspx?ProjectName=Phalanger

SQL Injection 相關資訊

jchiou — Mon, 26 May 2008 11:01:39 GMT

SQL Injection(資料隱碼)攻擊行為簡介

以下是此類攻擊的流程

1. 駭客運用搜尋引擎尋找網頁上的漏洞，並運用自動化工具攻擊網路服務器。

2. 一個<script>字串附加到在後端運行的SQL伺服器中所有的文本或可變長字串列中。

3. 這個腳本與駭客所控制伺服器連接。該伺服器含有一些常用軟體的利用代碼，如Microsoft MS06-014，協力廠商軟體漏洞，（例如常用的媒體播放器及內容下載軟體）。有的時候還有一些零時差漏洞。

4. 當終端使用者試圖用IE流覽正常的網站時，由於這些網頁都將從SQL伺服器獲取資料，這些資料同時包含了惡意腳本<script>。而這些腳本會自動連接到駭客的網站。

5. 如果普通使用者沒有依照建議安裝修正程式，防毒軟體，或尚未安裝Microsoft或協力廠商軟體最新版本的更新，那麼他們的電腦就會被感染。

SQL Injection(資料隱碼)攻擊行為的解決方案

一旦web伺服器遭到SQL注入攻擊，請遵循如下步驟：

1、關閉網站

2、檢查IIS日誌，查找引起這次攻擊的有漏洞的目標網頁

3、聯繫web開發者，修改並加強ASP頁面。

注意這只是一種變通的解決方法，只能臨時解決SQL Injection問題。該網站可能在伺服器再次聯網後被再次注入。為了徹底解決這個問題，請參閱“預防SQL Injection(資料隱碼)攻擊的解決方案”。

預防SQL注入攻擊的解決方案

這種SQL Injection攻擊是由網頁程式開發不符合安全編碼的要求所引起的。為了防止攻擊，我們需要驗證所有網頁的字串輸入的函數。比如說，帶有用戶名和密碼輸入框的網站登錄頁。

我們也可以在微軟的官方網站上找到安全指導和最佳實踐建議，來應對SQL Injection(資料隱碼)攻擊。

用來減緩與解決SQL Injection攻擊的最佳實踐建議可以在這裡找到：

http://msdn2.microsoft.com/en-us/magazine/cc163917.aspx

SQL 資料隱碼

http://msdn.microsoft.com/zh-tw/library/ms161953.aspx

『資料隱碼』SQL Injection的源由與防範之道

http://www.microsoft.com/taiwan/sql/SQL_Injection.htm

SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(上)

http://www.microsoft.com/taiwan/sql/SQL_Injection_G1.htm

SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(下)

http://www.microsoft.com/taiwan/sql/SQL_Injection_G2.htm

How To - Protect from Injection Attacks in ASP.NET

http://msdn.microsoft.com/en-us/library/bb355989.aspx

How To - Protect from SQL Injection in ASP.NET

http://msdn.microsoft.com/en-us/library/ms998271.aspx

How To - Protect from Cross-Site Scripting in ASP.NET

http://msdn.microsoft.com/en-us/library/ms998274.aspx

Design Guidelines

http://msdn.microsoft.com/en-us/library/aa302420.aspx

Arch/Design Inspection

http://msdn.microsoft.com/en-us/library/aa302421.aspx

對於用戶端使用者，請確保電腦系統中已安裝了微軟及協力廠商軟體的最新安全修正程式以及最新的防毒程式定義檔。

注意，SQL Injection 不只會在 MS SQL Server 上會發生，在其它廠牌的資料庫產品也可能會有相同的情況發生。

MIX08 大會，88 個議程實況錄影一次上線

jchiou — Wed, 21 May 2008 11:25:44 GMT

技術與設計的饗宴 - MIX08 大會，88 個議程實況錄影一次上線，與全球最新趨勢同步！
甫在 2008.03.07 於美國 Las Vegas 閉幕的 MIX08 大會，揭露未來 NEXT WEB 數位十年的應用方向，88 個議程實況錄影課程全部公開，讓您立即與全球最新趨勢同步！詳細內容...

與 IIS 7.0 相關的一些技術文章

jchiou — Fri, 16 May 2008 12:46:00 GMT

Vista 都已 1 歲且 Windows Server 2008 在四月份也正式上市了，它們都是內建 IIS 7.0，以下為一些相關的文章，供參考：

The Managed Pipeline Mode setting is not available after you configure an application pool to use the .NET Framework 1.1 in IIS 7.0

You may receive an error message when you use an ASP.NET feature configuration page in IIS 7.0

You receive an HTTP 500 error message or a blank page appears when you request an ASP.NET resource or WCF resource that is hosted on a server that is running IIS 7.0

Error message when you use Server Manager in IIS 7.0 to open a feature configuration page: "Cannot add duplicate collection entry"

How to specify a custom location for the isolated configuration file in Internet Information Services 7.0

You cannot resolve the built-in IIS accounts after you set a Windows Server 2008-based server that is running IIS 7.0 as a domain controller

ISAPI extensions that send long responses to the client may not transmit any output in Internet Information Services 7.0 until the session is closed

Information about the configuration of cluster resources in Internet Information Services 7.0

Information about the UrlScan 2.5 features that are included in IIS 7.0

The HTTP status codes in IIS 7.0

Host header names that contain an underscore character are not supported in IIS 7.0

How to create a log file that can help troubleshoot IIS Admin Base Objects (ABO) Mapper errors in Microsoft Internet Information Services 7.0

How the Internet Server API filter notification process has changed in Internet Information Services 7.0

Internet Server API authentication filters that were created for earlier versions of Internet Information Services do not work correctly in Internet Information Services 7.0

The requirements for using the ODBC logging feature in Internet Information Services

The Windows Process Activation Service feature is not turned off when you turn off the IIS 7.0 feature

How to use the Appcmd.exe command-line tool to enable and configure HTTP logging and other features in Internet Information Services 7.0

Enjoy.

請協助我們改善您在 MSDN 上尋找資訊的體驗

jchiou — Fri, 25 Apr 2008 05:31:39 GMT

您是否覺得很難在 MSDN 快速找到需要的資訊?

MSDN 團隊正致力於改善您在尋找所需資訊時的體驗。請花個兩分鐘來告訴我們您想要的內容格式和搜尋方式。詳細內容...

雖然 MSDN 已經比以前好很多了，但我們都希望它可以更好，筆者自己也有做完問卷，大家有空時可以填一下，感恩。

可用於測試 Internet Explorer 與應用程式相容性的 VPC

jchiou — Wed, 09 Apr 2008 05:08:26 GMT

許多朋友為了要測試自己開發的應用程式是否可以 IE 6、IE 7、IE 8 上正常執行，自己花了很多時間在安裝不同作業系統及不同 IE 的版本來進行交叉測試。

現在大家可以把這些安裝的時間省下來，直接從下列網址下載Windows XP SP2 或 Windows Vista 與 IE 6、IE 7、IE 8不同的 VPC image 來使用

http://www.microsoft.com/downloads/details.aspx?FamilyID=21eabb90-958f-4b64-b5f1-73d0a413c8ef&DisplayLang=en

要將這些 VPC image 開來使用前，需先安裝 Visual PC 2007，下載位置如下：

http://www.microsoft.com/downloads/details.aspx?FamilyId=04D26402-3199-48A3-AFA2-2DC0B40A73B6&displaylang=en

ASP.NET 無法上載大型檔案(大於 4MB)

jchiou — Mon, 10 Mar 2008 06:54:02 GMT

Part I.

這個問題有許多朋友在開發 Web 應用程式常會遇到，常是檔案太大無法上傳時，會詢問為何無法上傳檔案？那裡出了問題？

根據預設，ASP.NET 只容許上載 4,096 KB (或 4 MB) 或以下的檔案到網頁伺服器中。如果要上載較大的檔案，您必須變更 Web.config 檔中 <httpRuntime> 區段的 maxRequestLength 參數。

注意當 Machine.config 檔中設定了 maxRequestLength 屬性而後發佈超出 maxRequestLength 值的要求 (例如，檔案上載) 時，將無法顯示自訂錯誤網頁。Microsoft Internet Explorer 會顯示「找不到伺服器或 DNS」錯誤訊息作為替代。
如果您想要針對整台電腦而非僅針對此 ASP.NET 應用程式變更這個設定，就必須修改 Machine.config 檔。
根據預設，<httpRuntime> 元素會設為 Machine.config 檔中的下列參數：

Machine.config 檔位於 \System Root\Microsoft.NET\Framework\Version Number\Config 資料夾中。

Part II.

等設定完成可以上傳較大檔案時，許多朋友會接著問：那上傳檔案大小是否有所限制？

理論上，檔案上載大小上限是相當大的。然而，由於 ASP.NET 健康狀態監視的緣故，您無法在 ASP.NET 中上載極大的檔案。ASP.NET 工作者處理序具有 2 GB 的虛擬位址空間。然而，由於健康狀態監視及記憶體分散的原因，ASP.NET 工作者處理序只會使用稍微大於 1 GB 的空間。
在上載過程中， ASP.NET 會在記憶體中載入整個檔案，之後使用者才能將檔案儲存到磁碟。因此，可能會因 Machine.config 檔中 processModel 標籤的 memoryLimit 屬性而重新使用處理序。memoryLimit 屬性會指定 ASP.NET 工作者處理序在自動重新使用處理序前可以耗用的實體記憶體百分比。回收可防止記憶體遺漏導致 ASP.NET 當機或停止回應。

此外，其他因素也會影響可以上載的檔案大小上限。這些因素包括可用記憶體、可用硬碟空間、處理器速度，以及目前的網路流量。在一般上載檔案流量的情況下，Microsoft 建議您使用 10 到 20 MB 範圍內的檔案大小上限。如果您很少上載檔案，檔案大小上限可以是 100 MB。

注意您可以在 ASP.NET 中上載大於 100 MB 的檔案。然而，Microsoft 建議您遵循本文中提到的檔案上載大小上限。如果要判斷更精確的檔案大小，請在與實際作業電腦環境類似的電腦上執行壓力測試。

如果您在檔案上載過程中遇到檔案大小限制，可能會注意到下列錯誤訊息：

•無法顯示網頁。

•伺服器應用程式無法使用

在事件記錄中，錯誤訊息會與下列訊息類似：

aspnet_wp.exe (PID：PIDNumber) 已回收，因為記憶體耗用超過 SizeLimit MB (Percentage % 的可用 RAM)。

•已傳回類型 System.OutOfMemoryException 的例外狀況。

您也可能發現上載會進行得非常緩慢。如果您在「Windows 工作管理員」中查看 Aspnet_wp.exe 處理序，則會注意到記憶體差異每 1 到 2 秒就有 64 KB 的變更。視檔案大小的不同，這個延遲可能會因 responseDeadlock 錯誤而造成重新使用 ASP.NET 工作者處理序。

更多資訊：

如何在 ASP.NET 中使用 Visual Basic .NET 上載檔案到網頁伺服器

http://support.microsoft.com/kb/323245/zh-tw

[FYI] The HTTP status codes in IIS 7.0

jchiou — Mon, 19 Nov 2007 03:48:55 GMT

INTRODUCTION

When you try to access content on a server that is running Internet Information Services (IIS) 7.0 by using HTTP, IIS 7.0 returns a numeric code that indicates the status of the response. The HTTP status code is recorded in the IIS log. Additionally, the HTTP status code may be displayed in the client browser.
The HTTP status code may indicate whether a request is successful or unsuccessful. The HTTP status code may also reveal the exact reason that a request is unsuccessful.

more information:

http://support.microsoft.com/default.aspx?scid=kb;EN-US;943891

慢步在雲端... 邱英瑞(Jacky) : IIS 7.0

ASP.NET Hosting Deployment Guide

UrlScan v3.0 Helps Filter SQL Injection Attacks.

IIS 7 的效能真的比較好嗎？

執行 Silverlight 2 所需之 IIS 6 及 IIS 7 組態設定(圖)

The Microsoft Source Code Analyzer for SQL Injection tool

Writing Silverlight applications in PHP

Phalanger, the PHP Language Compiler for the .NET Framework.

SQL Injection 相關資訊

MIX08 大會，88 個議程實況錄影一次上線

與 IIS 7.0 相關的一些技術文章

請協助我們改善您在 MSDN 上尋找資訊的體驗

可用於測試 Internet Explorer 與 應用程式相容性的 VPC

ASP.NET 無法上載大型檔案(大於 4MB)

[FYI] The HTTP status codes in IIS 7.0

INTRODUCTION

可用於測試 Internet Explorer 與應用程式相容性的 VPC