HTTP-Fehler 404.11, Escapesequenz werden abgelehnt im IIS

Das Anforderungsfilterungsmodul ist so konfiguriert, dass Anforderungen abgelehnt werden, die eine doppelte Escapesequenz enthalten.

Ausführliche Fehlerinformationen

· Die Anforderung enthielt eine doppelte Escapesequenz, und die Anforderungsfilterung ist auf dem Webserver so konfiguriert, dass doppelte Escapesequenzen abgelehnt werden.

Mögliche Vorgehensweise:

· Überprüfen Sie die Einstellungen für "configuration/system.webServer/security/requestFiltering@allowDoubleEscaping" in der Datei "applicationhost.config" oder "web.config".

Links und weitere InformationenHierbei handelt es sich um ein Sicherheitsfeature. Ändern Sie dieses Feature nur, wenn Sie sich über die Auswirkungen der Änderung vollständig im Klaren sind. Vor dem Ändern dieses Werts sollten Sie eine Ablaufverfolgung im Netzwerk ausführen, um sicherzustellen, dass die Anforderung nicht bösartig ist. Wenn doppelte Escapesequenzen vom Server zugelassen werden, ändern Sie die Einstellung "configuration/system.webServer/security/requestFiltering@allowDoubleEscaping". Dies kann auf eine falsch formatierte URL zurückzuführen sein, die von einem böswilligen Benutzer an den Server gesendet wurde.

In der Standardeinstellung werden doppelte Escapesequenzen blockiert. Damit können unter anderem keine Dateien geladen werden, die im Namen ein "+" enthalten. Bei manchen Webdiensten ist es jedoch erforderlich, dass diese Zeichen zugelassen werden.

Unter anderem ist die Active Directory Zertifizierungsstelle ein solcher Webdienst. Hierbei wird die Zertifikat-Deltasperrliste auf diese Weise verteilt. Im Dateinamen ist dabei ein Plus vorhanden.

Die Behebung ist dabei recht simpel.

1. Der Command-Prompt muss mit Administratorenrechte gestartet werden.
   1. mit "Windows-Taste + R" und danach im Ausführen-Fenster "cmd" eingeben.
      
   2. mittels Windows-Suche nach dem Programm "cmd" suchen, Rechtsklick mit der Maus und "Als Administrator starten" auswählen.
      
2. Es wird der Command-Prompt oder auch Konsolenfenster geöffnet.
3. Nun muss der Ordner gewechselt werden. Dazu folgendes eingeben:

   %windir%\system32\inetsrv

4. Danach kommt der eigentliche Befehl. Statt "Default Web Site" bitte die eigene Webseitenbezeichnung eingeben. Dies kann im Internetinformationsdienste (IIS)-Manager ausgelesen werden.
   

   Appcmd set config "Default Web Site" /section:system.webServer/Security/requestFiltering -allowDoubleEscaping:True

5. Die Erlaubnis von doppelten Escapesequenzen wird dabei nur für die entsprechend angegebene Webseite erlaubt. Alle anderen bleiben auf der Standardeinstellung.