简单说两条网站安全问题

最近发现360提供的网络漏洞检测功能很好用，给大家个地址webscan.360.cn,配合360的主机卫士，可以很简单的让你的web服务器及平台提高一个安全系数。

我这里扫描的时候发现了一些错误如下：

存在漏洞页面	漏洞名称	修复方案	操作
http://web.xxxx.com	[高危]MS15-034 HTTP.sys远程代码执行	修复方案	我修复了漏洞 我要快速检测
http://web.xxxx.com/	[轻微]IIS版本号可以被识别	修复方案
http://web.xxxx.com/	[轻微]WEB服务器启用了OPTIONS方法	修复方案

第一个是一个服务器系统的bug，安装一个更新包就能解决了。

第二个需要在应用web.config中增加<httpRuntime enableVersionHeader="false" />的配置，主要是避免别人发现你的asp.net版本，针对对应版本扫描漏洞更容易。

第三个也是该web.config，在system.webServer节点中，增加如下配置：

<security>
      <requestFiltering>
        <verbs allowUnlisted="false">
          <add verb="GET" allowed="true"/>
          <add verb="POST" allowed="true"/>
          <add verb="HEAD" allowed="true"/>
        </verbs>
      </requestFiltering>
    </security>

指允许使用Get,Post,Head方法，其他方法禁用掉，能够防范一些攻击扫描。

以上