三种方法解决IIS6目录检查漏洞_iis目录遍历漏洞修复

三种方法解决IIS6目录检查漏洞由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“iis目录遍历漏洞修复”。

三种方法解决IIS6目录检查漏洞

一、windows 2003 Enterprise Edition IIS6 目录检查漏洞的描述

1、windows 2003 Enterprise Edition是微软目前主流的服务器操作系统。windows 2003 IIS6 存在着文件解析路径的漏洞，当文件夹名为类似hack.ASP的时候（即文件夹名看起来像一个ASP文件的文件名），此时此文件夹下的任何类型的文件都可以在IIS中被当做ASP程序来执行。这样黑客即可上传扩展名为.jpg或.gif之类的看起来像是图片文件的木马文件，通过访问这个文件即可运行木马。

2、扩展名为.jpg/.gif的木马检查方法：

在资源管理器中使用详细资料方式，按类别查看。点“查看”菜单－－“选择详细信息”－－勾选上“尺寸”，确定。此时，正常的图片文件会显示出图片的尺寸大小，如果没有显示，则99%可以肯定是木马文件。用记事本程序打开即可100%确定.3、漏洞影响的范围：

安装了IIS6的服务器(windows2003)，漏洞特征网站的管理权限被盗、导致网站被黑。如何解决IIS6安全漏洞?

A 方案 ：打补丁

B方案：网站程序员解决

对于那些允许注册帐号的网站来说，在网站程序编写的时候，程序员通常为了管理方便，便以注册的用户名为名称来建立一个文件夹，用以保存该用户的数据。例如一些图片、文字等等信息。黑客们就是利用了这一特点，特意通过网站注册一个以.或者.cer的后续名作注册名，然后通过如把含有木马的ASP 文件的.asp后缀改成.jpg等方法，把文件上传到服务器，由于IIS6漏洞，jpg文件可以通过IIS6来运行，木马也随着运行，达到了攻击网站的目的，这种情况，可以由程序员对注册用户名称进行限制，排除一些带有*.asp *.asa等字符为名的注册名。加阿尚网站自身的安全和防范措施。另外，要阻止用户对文件夹进行重命名操作。C方案：服务器配置解决

网站管理员可以通过修改服务器的配置来实现对这个漏洞的预防。如何对服务器进行配置呢？很多网站都允许用户上传一定数量的图片、Flash 等，很多时候网站开发人员为了日后管理方便，对上传的文件都统一放到指定的一个文件夹里面，管理员只要对该文件夹的执行权限设置成“无”，这样一定程度可以对漏洞进行预防。

D方案： 服务商解决 服务器商对服务器进行统一的整体性过滤，通过编写组件来限制这种行为。但是能做到这种技术服务的主机供应服务商不多