IIS上传漏洞

这个问题深究起来并不算是个漏洞，只能说是配置不当。要成功利用这个问题，需要目标服务器开启以下选项（注意这些都不是默认选项）：

1. 开启WebDav服务扩展。开启了这个才会支持PUT和MOVE选项。
2. 网站属性“主目录”选项卡中 写入 复选框必须选中。选中“写入”后才能利用PUT上传文件。虽然选中”脚本资源访问“后才能利用MOVE选项将文件后缀名改为asp，但是可以利用IIS 6.0的解析漏洞将文件名改为shell.asp;.jpg。
3. 网站目录的NTFS的文件夹权限也要给予IIS来宾账户写入权限。