- 원문보기
http://blogs.iis.net/wadeh/archive/2008/12/18/filtering-for-sql-injection-on-iis-6-and-earlier.aspx

- UrlScan 다운로드
http://www.iis.net/extensions/UrlScan

- UrlScan 공식사이트
http://www.iis.net/download/UrlScan


- UrlScan 64비트 다운로드
http://www.microsoft.com/download/en/details.aspx?id=5728

- UrlScan 32비트 다운로드
http://www.microsoft.com/download/en/details.aspx?id=5017


- UrlScan 을 간단히 설치확인
- IIS ( 언터넷 정보 서비스 ) 에 가서 웹사이트 > 속성 > ISAPI 필터 항목을 보면 UrlScan 3.1 이 당당히 추가되어 있음을 확인


- UrlScan 설치후 ini 파일 내용 추가 하기
(C:\WINDOWS\system32\inetsrv\urlscan\UrlScan.ini)

   원문 내용을 읽어 보면 RuleList = 를 찾아서 그 끝부분에 연이어서 아래의 내용들을 추가해 준다.

[SQLInjection]
AppliesTo=.asp,.aspx
DenyDataSection=SQLInjectionStrings
ScanURL=0
ScanAllRaw=0
ScanQueryString=1
ScanHeaders=

[SQLInjectionStrings]
--
%3b ; a semicolon
/*
@ ; also catches @@
char ; also catches nchar and varchar
alter
begin
cast
create
cursor
declare
delete
drop
end
exec ; also catches execute
fetch
insert
kill
open
select
sys ; also catches sysobjects and syscolumns
table
update

- 로그 파일 경로 수정하기
(C:\WINDOWS\system32\inetsrv\urlscan\UrlScan.ini)
LoggingDirectory=
(변경 예 : LoggingDirectory=D:\WEB_ROOT\SecurityLog)

- 한글 문제 처리
AllowHighBitCharacters 값을 0에서 1로 변경


- 특정 확장자 차단도 가능하다
 아래와 같이 jpg, gif 를 추가하면 이 파일들은 웹사이트 상에서는 화면에 나타나지 않고 필터링된다.
[DenyExtensions]
.jpg
.gif


- 결과 및 영향
  위의 내용을 추가 하면 asp 와 aspx 확장자의  Request 관련 query string 을 검색해서, 만약이 이러한 부적절한 사항이
  발견되면 404 Not Found  에러 메세지를 보낸다.  SQL Injection 관련 항목을 더 추가하고 싶으면 [SQLInjectionStrings] 에
  연이어서 계속 추가하면 된다.