S’applique à : IIS Windows Server {2008 /2008 R2 /2012 /2012 R2 /2016}
J’ai récemment réalisé un audit de sécurité sur une infrastructure système Microsoft comprenant plusieurs serveurs Web IIS exécutant Windows Server 2008 R2, 2012 R2 et 2016, après réalisation de quelques tests fonctionnels et analyse des output files, j’ai détecté une faille de sécurité sur une Application Web (d’un éditeur tiers) permettant de récupérer les credentials (login/password) sur certaines pages.
Après étude de la vulnérable, il a été constaté que malgré la configuration du certificat SSL (WebApp accessible en HTTPS Only), certaines pages étaient toujours accessibles en HTTP.
Pour remédier à ce problème de sécurité, la solution suivante a été proposée au client :
Forcer la redirection du trafic HTTP vers le HTTPS sur toutes les pages du WebSite IIS.
Comment ça marche ?
La réponse est le Wonderful module /extension IIS : URL Rewrite.
URL Rewrite Module, qu’est ce que c’est ?
Je vous invite à consulter la vidéo ci-après pour en savoir plus :
En quelque mots : URL Rewrite est un module IIS qui vous permet de créer de Powerful Rules pour optimiser l’expérience utilisateur IIS.
En effet, à l’aide cette extension, vous avez la possibilité d’implémenter des règles pour utiliser des URLs simples et faciles à retenir.
Cela comprend la redirection d’URL /pages mais aussi le type de trafic (e.g : HTTP vers HTTPS).
La dernière version disponible au moment de l’écriture du présent post est la 2.1
Celle-ci prend désormais en charge IIS Windows Server 2016, elle est disponible en téléchargement gratuit ici.
Téléchargez et installez l’extension URL Rewrite sur tous vos serveurs IIS hébergeant la ou les WebApp(s) pour la(les)quelle(s) la redirection vers le HTTPS sera configurée.
Installer URL Rewrite 2.1
Une fois téléchargé, double-cliquez sur le fichier (.exe) pour lancer l’installation du module Rewrite URL.
L’assistant d’installation suivant apparaît :
Cliquez sur « Install » pour démarrer l’installation :
L’installation démarre …
Une fois déployé, l’assistant retourne le message suivant :
HowTo : Rediriger le HTTP vers le HTTPS sur une WebApp IIS
Commencez par lancer le Gestionnaire IIS (IIS Manager) en exécutant l’outil InetMgr.exe depuis le Menu « Exécuter » ou « Démarrer »
Sélectionnez le Site Web IIS pour lequel vous voulez rediriger le traffic HTTP vers HTTPS.
Dans l’exemple suivant, la WebApp « XXXXX » sera sélectionnée. Depuis le volet droit, localisez et double-cliquez sur « URL Rewrite »
Depuis le menu « Actions », cliquez sur « Add Rule(s)… »
L’assistant de création de règles suivant apparaît, sélectionnez « Blank rule » et cliquez sur « Ok »
Remplissez les champs ci-dessous de la manière suivante :
Name : HTTP to HTTPS
Pattern : (.*)
Sous « Conditions« , cliquez sur « Add… » pour ajouter une nouvelle condition
Créer /ajouter la condition suivante :
Condition input : {HTTPS}
Check if input string : Matches the Pattern
Pattern : ^OFF$
Sous « Action« , configurer l’action de la manière suivante :
Action type : Redirect
Redirect URL : https://{HTTP_HOST}/{R:1}
Redirect type : See Other (303)
Enfin, cliquez sur « Apply » pour appliquer votre règle URL Rewrite
Une fois créée, la règle URL Rewrite apparaît dans la liste :
Faites un test en saisissant simplement http://suivi_de_URL_de_Votre_WebApp et constatez la redirection vers https://suivi_de_URL_de_Votre_WebApp
Blog de Hicham KADIRI | Just Another IT Guy 