IIS 8.0 - URLからストリップhtmlタグ（XSS保護）

Question

ここが問題です。私はXSS攻撃からサーバーを保護しようとしています（そして今までのところ何の問題もなく、HTTP応答ヘッダーやその他のものを変更しています）。しかし、一般的な脆弱性はまだ進行中です。私はこれを入力すると、レスポンスはHTTP 202 OKステータス（それは私の404ページにリダイレクト）である

（すなわちhttp://myhost.com/thisfile.jsp?<script>alert("hello")</script>）

を挿入します。しかし、私はこれらのいずれかの操作を実行する必要があります。

1. 別のHTTPステータス（405、500、またはエラーを与える任意の状態を）投げる
2. エラーをスローします。

どうすればよいですか？タグを取り除くか、web.configファイルを使ってエラーをスローする方法はありますか？...書き換えモジュールと要求フィルタリングを試してきましたが、まったく成功しませんでした。

どうもありがとうございました。

Answer 1

ありがとうございます...私はそれを解決し、それはとても簡単でした（私はそれを最初に試していないとは思わない）。

私はIISマネージャーに行き、次に要求フィルターをクリックしました。

次に、[ルール]タブで[フィルタリングルール]を追加しました。すべてのファイル拡張子と「Deny Query String」フィールドには、<script>、<scr+ipt>などが追加されています。その場合、404などのエラーページを表示せずに接続が閉じられるようなURLがURLに付いています。

これはうまくいきましたが、今度は脆弱性スキャナには何の危険もありません。