IIS6.0目录解析漏洞复现及原理解析

 「作者简介」：冬奥会网络安全中国代表队，CSDN Top100，就职奇安信多年，以实战工作为基础著作 《网络安全自学教程》，适合基础薄弱的同学系统化的学习网络安全，用最短的时间掌握最核心的技术。

目录解析漏洞原理

 IIS6.0版本存在目录解析漏洞 , ,asp格式命名的文件夹,其目录下的所有文件都会被IIS当做asp文件来解析

漏洞复现

环境准备

Windows 2003系统 , IIS 6.0 服务器

主目录下新建 a.asp 目录 , 目录下新建 test.jpg 文件

接下来,访问 a.asp 目录下的 test.jpg 文件 , 如果出现以下错误 , 在IIS的 Web服务扩展中 开启 动态服务器页面即可

Active Server Pages 即 asp 的全称 , 该服务用来支持 asp 文件的解析

再次访问即可正常执行

固 a.asp/test.jpg 被当做 asp 文件来执行