作者：書生
當ASP以其靈活、簡單、實用、強大的特性迅速風靡全球網站的時候，其本身的一些缺陷、漏洞也正威脅著所有的網站開發人員，繼上一篇中介紹了一些IIS的系統漏洞及ASP的安全問題後，本期中將針對最新的ASP、IIS安全性漏洞進行詳細的探討，請所有的ASP網站開發人員密切關注，提高警惕。
本月初微軟再次被指責對其出品的WEB伺服器軟體的安全問題不加重視。在微軟的流行產品IIS
SEVER4.0中被發現存在一種被稱為“非法HTR請求”的缺陷。據微軟稱，此缺陷在特定情況下會導致任意代碼都可以在伺服器端運行。但用發現這一漏洞的Internet安全公司eEye的CEO
Firas Bushnaq的話說：這隻是冰山一角而已。Bushnaq說，微軟隱瞞了些情況，比如駭客可以利用這一漏洞對IIS伺服器進行完全的控制，而恰恰許多電子商務網站是基於這套系統的。
下面羅列出了該IIS系統漏洞的詳細情況:
IIS的最新安全性漏洞
受影響的系統:
Internet Information Server 4.0 (IIS4)
Microsoft Windows NT 4.0 SP3 Option Pack 4
Microsoft Windows NT 4.0 SP4 Option Pack 4
Microsoft Windows NT 4.0 SP5 Option Pack 4
公布日期:6.8.1999
microsoft已經證實了這個漏洞,但目前還沒有提供可用的補丁程式。
微軟資訊安全諮詢 (MS99-019):
主題："非正常的 HTR 請求" 漏洞
發布時間: 6.15.1999
摘要：
微軟已經證實在其發布的WEB伺服器產品Internet Information Server
4.0中存在一個嚴重的系統漏洞，該漏洞導致對於IIS伺服器的“服務拒絕攻擊”，在這種情況下，可能導致任何2進位代碼在伺服器上運行。有關該漏洞的補丁將在近期發布，請所有IIS使用者密切關注。
漏洞介紹：
IIS支援多種需要伺服器端處理的檔案類型，譬如：ASP、ASA、IDC、HTR，當一個WEB使用者從用戶端請求此類檔案時，相應的DLL檔案將自動對其進行處理。然而在ISM.DLL這個負責處理HTR檔案的檔案中被發現存在嚴重的安全性漏洞。（註：HTR檔案本身是用來遠端管理使用者密碼的）
該漏洞包含了一個在ISM.DLL中未經驗證的緩衝，它可能對WEB伺服器的安全運作造成兩方面的威脅。首先，是來自服務拒絕攻擊的威脅，一個來自非正常的對.HTR檔案請求將導致緩衝溢出，從而直接導致IIS崩潰，當這種情況發生時，無須重啟伺服器，但是IIS
