指定字符串中的Urlscan.ini分号(Specifying string with semico

我想在IIS 6阻止用户代理和URLScan，但我不能与字符串中分号指定一个用户代理。 我觉得这是一个很常见的情况，但我无法找到如何逃脱的Urlscan.ini分号（其中分号用于注释）的任何答复。 这是规则：

RuleList=DenyUserAgent
[DenyUserAgent]
DenyDataSection=AgentStrings
ScanHeaders=User-Agent
[AgentStrings]
Mozilla/5.0 (Windows NT 5.1; rv:6.0) Gecko/20100101 Firefox/10.0.2

我测试，它阻止所有与启动用户代理“的Mozilla / 5.0（Windows NT的5.1”，因为它认为字符串作为注释的其余部分。

Answer 1:

好像你需要到URL逃避它，即％3B

见http://learn.iis.net/page.aspx/476/common-urlscan-scenarios/为示例; 一个这样的例子，他们在查询字符串阻断分号阻止SQL注入攻击

文章来源: Specifying string with semicolons in UrlScan.ini