блокирование запросов HEAD на мой сайт

Question

Я смотрю мой сайт mpc asp.net и рассматриваю возможность блокирования глагола HEAD в IIS от доступа к сайту.

Я не понимаю, почему такие запросы нужны или используются в настоящее время.

Зачем требовались HEAD-запросы на сайте?

Answer 1

Комментарий, приведенный выше, является правильным. Насколько я знаю, запрос HEAD сделан браузером для проверки таких вещей, как ... Нужно ли снова загружать эту страницу, есть ли еще страница и т. Д. В принципе, если браузер хочет знать о странице, не загружая целую страницу, он выдает запрос HEAD. Итак, короче говоря, они не являются harmful thing to be happening.

Однако, если вы хотите, чтобы блокировать эти, вы можете сделать это в вашем web.config, используя следующий синтаксис (взятый из MSDN/IIS)

<configuration> 
    <system.webServer> 
     <security> 
     <requestFiltering> 
      <verbs applyToWebDAV="false"> 
       <add verb="HEAD" allowed="false" /> 
      </verbs> 
     </requestFiltering> 
     </security> 
    </system.webServer> 
</configuration> 

Однако, я думаю, что это нетипичная настройка и вы может захотеть протестировать ваш сайт для повышения производительности/перерывов в нескольких браузерах, прежде чем включать это для рабочего места.

Answer 2

Существуют вредоносные сканеры, которые будут выдавать большой объем запросов HEAD, пытаясь найти известные уязвимые ресурсы, такие как компоненты загрузки файлов, которые могут позволить им загружать вредоносные файлы. Они используют запрос HEAD, поскольку он быстрее, чем запрос GET, поскольку он не имеет тела ответа, а только заголовки.

Не только их намерение злонамеренно, но, обратившись к большому количеству несуществующих ресурсов, они могут разместить нагрузку на вашем сервере.

С другой стороны, Google также использует запрос HEAD, чтобы сэкономить время и пропускную способность при принятии решения о повторной выборке страницы (т. Е. Она изменилась с момента последнего сканирования).

В идеале вы можете найти способ блокировать вредоносные запросы и разрешать законные из Google/Web-браузеров.