IIS下ASP目錄漏洞和IIS分號漏洞(;)的臨時解決方案_win伺服器

解決方案：

下載 銀月伺服器工具，使用工具->組件下載器下載ISAPI_Rewrite，解壓出來。

把ISAPI_Rewrite中的ISAPI_Rewrite.dll添加為ISAPI，名字為ISAPI_Rewrite，這就是偽靜態，做過的不用安裝了

下載漏洞補丁包，即下圖選擇的項目，下載開啟！

把ISAPI_Rewrite目錄中的httpd.ini替換成補丁包中的httpd.ini。

或者保證ISAPI_Rewrite下面的httpd.ini有下圖選擇的兩行規則也行！這樣就能防止這兩個IIS漏洞了，是要這兩條規則有效就行了，ISAPI_Rewrite目錄下面的httpd.ini是全域設定檔，會應用到所有網站，這樣會防護所有網站不受漏洞攻擊。

我們再說一下這個漏洞（下圖），只要一個檔案有(.asp)後面再帶上分號(;)後面再帶上一個隨意字元加上副檔名如(cao.asp;ca.jpg)這個檔案Windows會當成jpg影像檔，但是這種檔案在IIS中會被當成asp運行，(cao.asp;ca.jpg)這個檔案IIS會識別成(cao.asp)，分號以後的東西忽略了- -。所以說(cao.asp;.jpg)這樣的檔案名稱也行！

補丁包裡面有一個圖片，把法放到各個網站下面，如果有人利用這個漏洞的話！會看到這張圖片！

 

原理：在Windows中要搜尋多個檔案是使用分號(;)進行分割的，如果這個檔案本身帶有分號怎嗎？- -。哈哈系統就不能搜尋這種檔案的！下圖，明明有這個h.asp;kk.jpg這個檔案，在Windows搜尋中會被當成h.asp和kk.jpg這兩個檔案來搜尋，這是Windows的一個設計不當，應該說不應該讓分號(;)做檔案名稱的！

但是要知道cdx、cer等等等等檔案都是asp的映射！所以aaa.cdx;kk.jpg都會被當成asp運行！如果這些映射沒有刪除都會被利用，用上面的方法這些都會變得安全！

 

下圖是ASP目錄漏洞，只要目錄名為xxxx.asp這個目錄下面的所有檔案都會被當成asp檔案運行。這是asp目錄漏洞

如果無法載入，請給予IIS_Rewrite檔案夾network和network service唯讀許可權！

銀月網路，銀月伺服器工具。 
當然對於已經使用rewrite的朋友可以直接複本備份檔案與圖片即可
/201008/tools/rewrite_rule.rar