IIS部署VB.NET站点偶发500错误及斜杠输入非法问题咨询

一年前将学校学生管理网站部署到IIS平台，运行一直正常，近期出现故障：打开特定学生的详情页后，触发任何事件都会报错：

Failed to load resource: the server responded with a status of 500

最初认为是代码错误，但通过本地IP登录访问时不会触发该错误，IIS日志文件中也没有相关报错记录。该站点基于.Net 4.0 Framework、使用VB.NET开发。

复现路径 #

• 公网域名访问：example.com\student.aspx 打开学生Marck的页面：报错
• 公网域名访问：example.com\student.aspx 打开学生Maria的页面：正常
• 本地IP访问：192.168.1.1\student.aspx 打开学生Marck的页面：正常

更新1 #

发现学生数据中有包含斜杠(/)的字段，删除该斜杠后页面恢复正常，这是否是之前提到的本地化问题？

Miguel的建议：检查浏览器语言（全球化配置）和URL参数，例如example.com\student.aspx?st=Mark&value=11.12 若参数被传递为11,12可能会引发数值处理错误，仅供参考。

但这个结论没有完全解决问题，因为另一名数据中带斜杠的学生页面访问正常。

更新2 #

测试发现输入框输入16/2时无法正常提交，输入16/2.或者16/2g则可以正常运行，相关输入框代码如下：

<input name="ctl00$ContentPlaceHolder1$txt_n_civ_residenza_alunno" type="text" value="14/6." id="ContentPlaceHolder1_txt_n_civ_residenza_alunno" style="width: 18%; vertical-align: middle; float: left;">

即仅输入「数字+斜杠+数字」格式的内容时会报错，其他格式均正常，看起来是斜杠的解析出现问题，有没有方法可以修正该格式解析错误？

更新3 #

为了排除站点代码影响，在示例页面测试，同样复现了该错误，测试代码如下：

<!DOCTYPE html>
<html>
<body>
  <h2>Text field</h2>
  <p>The <strong>input type="text"</strong> defines a one-line text input field:</p>
  <form action="/action_page.php">
    <label for="fname">First name:</label><br>
    <input type="text" id="fname" name="fname"><br>
    <label for="lname">Last name:</label><br>
    <input type="text" id="lname" name="lname"><br><br>
    <input type="submit" value="Submit">
  </form>
  <p>Note that the form itself is not visible.</p>
  <p>Also note that the default width of a text field is 20 characters.</p>
</body>
</html>

在输入框中输入1/2提交时返回"Illegal input"错误，请问该错误的触发原因是什么？应该如何处理该类错误？

错误触发原因 #

该错误和站点代码、IIS配置无关，是公网入口部署的WAF（Web应用防火墙）规则误拦截导致：

1. 数字+斜杠+数字的格式刚好匹配WAF内置的路径穿越攻击检测规则（这类格式常用在../这类路径穿越攻击 payload 中），WAF会直接拦截符合该特征的公网请求，返回500错误，请求根本没有到达IIS，所以IIS日志中没有对应报错记录。
2. 本地访问不经过公网WAF，所以提交同类内容完全正常。
3. 测试用的第三方站点也部署了同类WAF规则，所以同样能复现拦截现象。

修复方案 #

1. 验证问题根源：暂时关闭公网WAF或者将测试IP加入WAF白名单，重新提交1/2格式的内容，如果不再报错即可确认是WAF规则导致。
2. 调整WAF规则：在WAF中为student.aspx等需要提交斜杠内容的页面配置规则例外，放宽对应路径的路径穿越检测阈值，避免误拦截正常业务请求。
3. 编码规避拦截：前端提交表单前，将输入内容中的/转义为URL编码%2F，后端接收参数后再解码还原为原内容，即可绕开WAF的明文特征匹配。
4. 检查.NET请求验证：如果调整WAF后仍有报错，可以检查.NET 4.0自带的请求验证配置，在对应页面的Page头部指令添加ValidateRequest="false"，或者在web.config中添加配置：

<configuration>
  <system.web>
    <pages validateRequest="false" />
  </system.web>
</configuration>

关闭请求验证后需要自行做好输入内容的安全校验，避免真实的注入攻击风险。

内容的提问来源于stack exchange，提问作者CKK5L