下载地址:http://www.devms.com/download/IISTools_ver_1.3.zip

============ IIS配置 =================

 XP or 2K:

  将过滤器添加至您的站点

 2003:

  1.将过滤器添加至你的站点

  2.在 Web 服务扩展 里添加一个新的"Web 服务器扩展"
    扩展名与你添加过滤器至站点时填写的名称一样
    在"要求的文件"部分添加你的过滤器dll文件.选中"设置扩展状态为允许"项.确定.

  3.设置你的过滤器dll文件所在目录安全权限,允许 NetWork Service 帐户完全控制.

  4.设置 NetWork Service 帐户对devms.maplist和devms.validate文件具有读取权限.

============ 文件配置 ================

 devms.maplist:

  匹配项目配置文件,文件名不能更改.必须放置于对应站点根目录下
  此文件可以使用记事本或其他文本编辑程序修改,每行一个项目,格式为：

     1.匹配正则表达式[间隔符]指向页面表达式[间隔符]URL所请求文件的后缀名[间隔符]该项目注释

  ex:
     ^\/+devms.maplist$ /404.htm maplist //保证此文件不能被正常浏览

  上面的例子中,[^\/+devms.maplist$]就是匹配正则表达式,过滤器将会对符合指定后缀名[maplist]的请求尝试匹配这个正则并替换成[/404.htm]

  2.子域名解析
  ex:
  [SUBDIRECTORY] /member/#S html //解析具有子域名的html文件的请求

  上面的例子中,[SUBDIRECTORY]规则指示此站点中所有符合后缀名的请求都会经过子域名解析,其处理方法是将子域名替换掉目标表达式中的[#S]后的字符串拼合在原路径的前面作为新的请求路径
  例如本例,将会把对http://xxx.abc.com/a.asp的请求转成实际对http://xxx.abc.com/member/xxx/a.asp

  ex:
  [SUBPARAMETER] UserName=#S asp //解析具有子域名的asp文件的请求

  上面的例子中,[SUBPARAMETER]规则指示此站点中所有符合后缀名的请求都会经过子域名解析,其处理方法是将子域名替换掉目标表达式中的[#S]后的字符串拼合在原路径的后面作为本次请求的一个新的参数
  例如本例,将会把对http://xxx.abc.com/a.asp的请求转成实际对http://xxx.abc.com/a.asp?UserName=xxx

  子域名定义为当前域名的第一节值,可以识别[帐户:密码@域名]的格式准确取得第一个子域值.
  目录跳转方式[SUBDIRECTORY]的子域名解析表达式里的目标表达式必须以/开始.

  间隔符可以为任意长度的空格或TAB或两者的组合

 devms.validate:
  
  防盗链配置文件,文件名不能更改,必须放置于站点根目录下
  此文件可以使用记事本或其他文本编辑程序修改,每行一个项目,格式为：

     针对目录[间隔符]针对的文件后缀名[间隔符]COOKIE名称[间隔符]COOKIE值

  间隔符可以为任意长度的空格或TAB或两者的组合，目录名称必须以/结尾,必须由根目录开始阐述
  目录名称/路径支持正则表达式匹配

  ex1:只使用cookie判断

  /uploadfile/ jpg test 1

  这里就指定了凡是对根目录下的uploadfile目录的jpg文件的访问请求都必须具有名为"test"的cookie项,且值必须为1,否则不给予访问

  
  ex2:只使用来源判断 (COOKIE名称和值有一个为none时即自动转为使用引用来源判断)

  /uploadfile/ jpg none none local

  这里没有指定cookie名和值,那么凡是对根目录下的uploadfile目录的jpg文件的访问请求都必须具备有与当前访问的服务器域名相对应的引用来源
  来源判断的域名列表设定有两个默认指代值,分别是:
  local:代表本机访问,一般情况下请添加此关键词
  empty:代表无来源的访问

  ex3:同时使用COOKIE判断和来源判断
  /uploadfile/ jpg test 1 local|empty

  此表达式说明对根目录下的uploadfile目录的jpg文件的访问请求都必须具备名为"test"值为1的cookie项,同时它必须是从本站点页面或是直接输入地址访问的
  
  使用|隔开多个域名，如www.a.com|www.b.com|local|empty
  

============ 使用提示 =================

  1.当防止盗链发生作用并判断为盗链行为时,将会加载站点根目录下的devms.gif文件.您可以自行建立此文件.如果文件不存在,那么会出现文件未找到(404)的状态
  2.可以在配置文件内使用;标记注释行,此字符位于行首时,此行则作为注释行存在而不被加载解析
  3.本版本新增强制小写区域标识,在配置文件中以[;lowercase_start]行起始至[;lowercase_end]行结束的范围内的表达式皆强制小写匹配.

============ 更新记录 =================

 urlmap ver 1.0.1.4:
  1.上一版本因正则表达式问题导致IIS挂起,此修正版本已解决
  2.增加WEB设置接口,允许不重启IIS而重新加载配置参数

 urlmap ver 2.0.0.0:
  1.取消注册表中的配置参数
  2.配置文件由xml改成普通文本文件,减少使用xmldom对效率的损耗
  3.取消WEB设置接口,改由文件更改监视来判断是否载入文件
  4.实现多站点使用支持.配置文件固定存放于各站点根目录下
  5.区分请求URL中后缀名,有判断地决定是否进行重写匹配尝试动作,最大程度减少效率损耗

 2006-11-18 重新发布iistools系列,在urlmap的基础上增加其他功能.urlmap系列停止更新
 iistools ver 1.0.0.0:
  1.实现了文件非法访问监控(防止盗链).允许使用引用来源和COOKIE验证两种方法
  2.重建配置文件载入机制,允许配置文件注释行存在.减少无效行的载入
  3.去掉配置文件内的防止下载自身的匹配项目,改由程序硬性检查

 iistools ver 1.1.0.0:
  1.重新设计防盗链配置文件,允许自定义来源检查符合条件的站点域名列表

 iistools ver 1.2.0.0:
  1.修正因多线程问题导致的IIS挂起
  2.增强防盗链转向操作效率

 iistools ver 1.3.0.0:
  1.增加防盗链目录路径表达式的正则匹配支持
  2.改进配置文件智能更改识别加载方式
  3.增加子域名自动解析
  4.增加强制小写区域标识

 后续版本将实现功能:

========= DevMs.Com (2008-5-15) ==========

(RFC1928)SOCKS V5
作者：Marcus Leech

提交者：eastvc 发布日期：2003-9-25 20:31:24
原文出处：http://www.china-pub.com/computers/eMook/emooknew/rfctxt/RFC1928.txt


组织：中国互动出版网（http://www.china-pub.com/）
RFC文档中文翻译计划（http://www.china-pub.com/compters/emook/aboutemook.htm）
E-mail：ouyang@china-pub.com
译者：Radeon（Radeon bise@cmmail.com）
译文发布时间：2001-6-18
版权：本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载，但必须保留本文档的翻译及版权信息。

Network Working Group M. Leech
Request for Comments: 1928 Bell-Northern Research Ltd
Category: Standard Track M. Ganis
International Business Machines
Y. Lee
NEC Systems Laboratory
R. Kuris
Unify Corporation
D. Koblas
Independent Consultant
L. Jones
Hewlett-Packard Company
March 1996

SOCKS V5
(RFC1928 SOCKS Protocol Version 5)

本备忘录状态：
本文档讲述了一种Internet社区的Internet标准跟踪协议，它需要进一步进行讨论和建议以得到改进。请参考最新版的"Internet正式协议标准" (STD1)来获得本协议的标准化程度和状态。本备忘录的发布不受任何限制。
知识背景
这个备忘录描述了从同一协议的前一版本(版本4[1])发展而来的一个协议。这个新的协议起源于当前的一些讨论和原型的实现(active discussions and prototype implementations)。关键的贡献人有：Marcus Leech: Bell-Northern Research, David Koblas: Independent Consultant, Ying-Da Lee: NEC Systems Laboratory, LaMont Jones: Hewlett-Packard Company, Ron Kuris: Unify Corporation, Matt Ganis: International Business Machines。

目录

1.介绍
2．现有的协议
3．基于TCP协议的客户
4．请求
5．地址
6．应答
7．基于UDP协议的客户
8. 安全性考虑
9. 参考书目

1.介绍

利用网络防火墙可以将组织内部的网络结构从外部网络如INTERNET中有效地隔离，这种方法在许多网络系统中正变得流行起来。这种防火墙系统通常以应用层网关的形式工作在两个网络之间，提供TELNET、FTP、SMTP等的接入。随着越来越多的使全球信息查找更容易的复杂的应用层协议的出现，有必要提供一个通用框架来使这些协议安全透明地穿过防火墙。而且在实际应用中还需要一种安全的认证方式用以穿越防火墙。这个要求起源于两个组织的网络中客户/服务器关系的出现，这个关系需要得到控制并要求有安全的认证。
在这儿所描述的协议框架是为了让使用TCP和UDP的客户/服务器应用程序更方便安全地使用网络防火墙所提供的服务所设计的。这个协议从概念上来讲是介于应用层和传输层之间的"中介层(shim-layer)"，因而不提供如传递ICMP信息之类由网络层网关的所提供的服务。

2．现有的协议
当前存在一个协议SOCKS 4，它为TELNET、FTP、HTTP、WAIS和GOPHER等基于TCP协议的客户/服务器程序提供了一个不安全的防火墙。而这个新的协议扩展了SOCKS V4，以使其支持UDP、框架规定的安全认证方案、地址解析方案(addressing scheme)中所规定的域名和IPV6。为了实现这个SOCKS协议，通常需要重新编译或者重新链接基于TCP的客户端应用程序以使用SOCKS库中相应的加密函数。
注意：
除非特别注明，所有出现在数据包格式图中的十进制数字均以字节表示相应域的长度。如果某域需要给定一个字节的值，用X'hh'来表示这个字节中的值。如果某域中用到单词'Variable'，这表示该域的长度是可变的，且该长度定义在一个和这个域相关联（1 - 2个字节）的域中，或一个数据类型域中。

3．基于TCP协议的客户
当一个基于TCP协议的客户端希望与一个只能通过防火墙可以到达的目标(这是由实现所决定的)建立连接，它必须先建立一个与SOCKS服务器上SOCKS端口的TCP连接。通常这个TCP端口是1080。当连接建立后，客户端进入协议的"握手(negotiation)"过程：认证方式的选择，根据选中的方式进行认证，然后发送转发的要求。SOCKS服务器检查这个要求，根据结果，或建立合适的连接，或拒绝。
除非特别注明，所有出现在数据包格式图中的十进制数字均以字节表示相应域的长度。如果某域需要给定一个字节的值，用X'hh'来表示这个字节中的值。如果某域中用到单词'Variable'，这表示该域的长度是可变的，且该长度定义在一个和这个域相关联（1 - 2个字节）的域中，或一个数据类型域中。
客户端连到服务器后，然后就发送请求来协商版本和认证方法：

这个版本的SOCKS协议中，VER字段被设置成X'05'。NMETHODS字段包含了在METHODS字段中出现的方法标示的数目（以字节为单位）。
服务器从这些给定的方法中选择一个并发送一个方法选中的消息回客户端：

• 如果选中的消息是X'FF'，这表示客户端所列出的方法列表中没有一个方法被选中，客户端必须关闭连接。
  当前定义的方法有：
  X'00' 不需要认证
  X'01' GSSAPI
  X'02' 用户名/密码
  X'03' -- X'7F' 由IANA分配
  X'80' -- X'FE' 为私人方法所保留的
  X'FF' 没有可以接受的方法
  然后客户和服务器进入由选定认证方法所决定的子协商过程(sub-negotiation)。各种不同的方法的子协商过程的描述请参考各自的备忘录。
  开发者如果要为自己的方法得到一个方法号，可以联系IANA。可以参考关于已经被分配号码的文档以得到当前所有方法的列表和相应的协议。
  符合本文档的SOCKS V5实现必须支持GSSAPI，并且在将来支持用户名/密码认证方式。
  
  4．请求
  
  一旦子协商过程结束后，客户端就发送详细的请求信息。如果协商的方法中有以完整性检查和/或安全性为目的的封装，这些请求必须按照该方法所定义的方式进行封装。
  SOCKS请求的格式如下：

• 其中
  VER 协议版本: X'05'
  CMD
  CONNECT：X'01'
  BIND：X'02'
  UDP ASSOCIATE：X'03'
  RSV 保留
  ATYP 后面的地址类型
  IPV4：X'01'
  域名：X'03'
  IPV6：X'04''
  DST.ADDR 目的地址
  DST.PORT 以网络字节顺序出现的端口号
  SOCKS服务器会根据源地址和目的地址来分析请求，然后根据请求类型返回一个或多个应答。
  
  5．地址
  ATYP字段中描述了地址字段(DST.ADDR，BND.ADDR)所包含的地址类型：
  X'01'
  基于IPV4的IP地址，4个字节长
  X'03'
  基于域名的地址，地址字段中的第一字节是以字节为单位的该域名的长度，没有结尾的NUL字节。
  X'04'
  基于IPV6的IP地址，16个字节长

6．应答
一旦建立了一个到SOCKS服务器的连接，并且完成了认证方式的协商过程，客户机将会发送一个SOCKS请求信息给服务器。服务器将会根据请求，以如下格式返回：

• 其中：
  VER 协议版本: X'05'
  REP 应答字段:
  X'00' 成功
  X'01' 普通的SOCKS服务器请求失败
  X'02' 现有的规则不允许的连接
  X'03' 网络不可达
  X'04' 主机不可达
  X'05' 连接被拒
  X'06' TTL超时
  X'07' 不支持的命令
  X'08' 不支持的地址类型
  X'09' - X'FF' 未定义
  RSV 保留
  ATYP 后面的地址类型
  IPV4：X'01'
  域名：X'03'
  IPV6：X'04'
  BND.ADDR 服务器绑定的地址
  BND.PORT 以网络字节顺序表示的服务器绑定的段口
  标识为RSV的字段必须设为X'00'。
  如果选中的方法中有以完整性检查和/或安全性为目的的封装，这些应答必须按照该方法所定义的方式进行封装。

CONNECT
在对一个CONNECT命令的应答中，BND.PORT包含了服务器分配的用来连到目标机的端口号，BND.ADDR则是相应的IP地址。由于SOCKS服务器通常有多个IP，应答中的BND.ADDR常和客户端连到SOCKS服务器的那个IP不同。

SOCKS服务器可以利用DST.ADDR和DST.PORT，以及客户端源地址和端口来对一个CONNECT请求进行分析。

BIND
BIND请求通常被用在那些要求客户端接受来自服务器的连接的协议上。FTP是一个典型的例子。它建立一个从客户端到服务器端的连接来执行命令以及接收状态的报告，而使用另一个从服务器到客户端的连接来接收传输数据的要求(如LS，GET，PUT)。
建议只有在一个应用协议的客户端在使用CONNECT命令建立主连接后才可以使用BIND命令建立第二个连接。建议SOCKS服务器使用DST.ADDR和DST.PORT来评价BIND请求。
在一个BIND请求的操作过程中，SOCKS服务器要发送两个应答给客户端。当服务器建立并绑定一个新的套接口时发送第一个应答。BND.PORT字段包含SOCKS服务器用来监听进入的连接的端口号，BAND.ADDR字段包含了对应的IP地址。客户端通常使用这些信息来告诉（通过主连接或控制连接）应用服务器连接的汇接点。第二个应答仅发生在所期望到来的连接成功或失败之后。在第二个应答中，BND.PORT和BND.ADDR字段包含了连上来的主机的IP地址和端口号。

UDP ASSOCIATE
UDP ASSOCIATE请求通常是要求建立一个UDP转发进程来控制到来的UDP数据报。DST.ADDR和DST.PORT 字段包含客户端所希望的用来发送UDP数据报的IP地址和端口号。服务器可以使用这个信息来限制进入的连接。如果客户端在发送这个请求时没有地址和端口信息，客户端必须用全0来填充。
当与UDP相应的TCP连接中断时，该UDP连接也必须中断。
应答UDP ASSOCIATE请求时，BND.PORT 和BND.ADDR字段指明了客户发送UDP消息至服务器的端口和地址。

应答处理
当一个应答(REP值不等于00)指明出错时，SOCKS服务器必须在发送完应答消息后一小段时间内终止TCP连接。这段时间应该在发现错误后少于10秒。
如果一个应答(REP值等于00)指明成功，并且请求是一个BIND或CONNECT时，客户端就可以开始发送数据了。如果协商的认证方法中有以完整性、认证和/或安全性为目的的封装，这些请求必须按照该方法所定义的方式进行封装。类似的，当以客户机为目的地的数据到达SOCKS服务器时，SOCKS服务器必须用正在使用的方法对这些数据进行封装。

7．基于UDP协议的客户
在UDP ASSOCIATE应答中由BND.PORT指明了服务器所使用的UDP端口，一个基于UDP协议的客户必须发送数据报至UDP转发服务器的该端口上。如果协商的认证方法中有以完整性、认证和/或安全性为目的的封装，这些数据报必须按照该方法所定义的方式进行封装。每个UDP数据报都有一个UDP请求头在其首部：

在UDP请求头中的字段是：

• RSV 保留 X'0000'
  FRAG 当前的分段号
  ATYP 后面的地址类型
  IPV4：X'01'
  域名：X'03'
  IPV6：X'04'
  DST.ADDR 目的地址
  DST.PORT 以网络字节顺序出现的端口号
  DATA 用户数据
  当一个UDP转发服务器转发一个UDP数据报时，不会发送任何通知给客户端；同样，它也将丢弃任何它不能发至远端主机的数据报。当UDP转发服务器从远端服务器收到一个应答的数据报时，必须加上上述UDP请求头，并对数据报进行封装。
  UDP转发服务器必须从SOCKS服务器得到期望的客户端IP地址，并将数据报发送到UDP ASSOCIATE应答中给定的端口号。如果数据报从任何IP地址到来，而该IP地址与该特定连接中指定的IP地址不同，那么该数据报会被丢弃。
  FRAG字段指明数据报是否是一些分片中的一片。如果SOCKS服务器要实现这个功能，X'00'指明数据报是独立的；其他则越大越是数据报的尾端。介于1到127之间的值说明了该分片在分片序列里的位置。每个接收者都为这些分片提供一个重组队列和一个重组的计时器。这个重组队列必须在重组计时器超时后重新初始化，并丢弃相应的数据报。或者当一个新到达的数据报有一个比当前在处理的数据报序列中最大的FRAG值要小时，也必须重新初始化从组队列。重组计时器必须小于5秒。只要有可能，应用程序最好不要使用分片。
  分片的实现是可选的；如果某实现不支持分片，所有FRAG字段不为0的数据报都必须被丢弃。
  一个SOCKS的UDP编程界面(The programming interface for a SOCKS-aware UDP)必须报告当前可用UDP数据报缓存空间小于操作系统提供的实际空间。
  如果 ATYP是 X'01' - 10+method_dependent octets smaller
  如果 ATYP是X'03' - 262+method_dependent octets smaller
  如果 ATYP是X'04' - 20+method_dependent octets smaller

8. 安全性考虑
这篇文档描述了一个用来透过IP网络防火墙的应用层协议。这种传输的安全性在很大程度上依赖于特定实现所拥有以及在SOCKS客户与SOCKS服务器之间经协商所选定的特殊的认证和封装方式。
系统管理员需要对用户认证方式的选择进行仔细考虑。

9. 参考书目

[1] Koblas, D., "SOCKS", Proceedings: 1992 Usenix Security Symposium.

作者地址
Marcus Leech
Bell-Northern Research Ltd
P.O. Box 3511, Station C
Ottawa, ON
CANADA K1Y 4H7
Phone: (613) 763 - 9145
EMail: mleech@bnr.ca

看着那烟雾腾空，那熟悉的脸孔和过去的事就会如潮涌现

那时的天空对于稚幼的我来说显得太高不可及
那时的花开对于我来说也只不过是自然的顺迁
莫名其妙地为一个或许并不存在的故事感触
也莫名其妙地为自己的往事伤怀
广州的天空已经阴霾，不见一丝阳光
小生说看到了UFO，其实我也看到了
从他家旁边飞过，去往了珠江新城，每天不可或缺的一景
身在龙口西这个人声车声鼎沸不止的角落
却听得见内心可怕的平静里透出来的心跳

一下，又一下，我听见了。