防止.NET***列所有站物理路径，防止.JPG类型***
前段时间单位的服务器上被人上传了一个.NET***，，这次让我认识到以前没有见过的上传***的招数，同时也找出一些对策，就分享出来给大家吧。

 

.net***目前很强的，，ASPXspy 2.0 （你可以上传到你的服务器上看看对你的系统都能做什么,只为学习而用,不要以破坏为目的,否则后果自负!）

此***是一个.NET程序制作，如果你的服务器支持.NET那就要注意了，，进入***有个功能叫：IIS Spy，点击以后可以看到所有站点所在的物理路径。以前有很多人提出过，但一直没有人给解决的答案。。

防御方法：
"%SystemRoot%/ServicePackFiles/i386/activeds.dll
"%SystemRoot%/system32/activeds.dll
"%SystemRoot%/system32/activeds.tlb

搜索这两个文件，把USER组和POWERS组去掉，只保留administrators和system权限。。如果还有其它组请全部去掉。。这样就能防止这种***列出所有站点的物理路径。。。


asp程序最近碰到一个上传图片，但如果上传图片的文件夹给了IIS可执行脚本的权限，那么他上传.jpg的图片也一样能够执行ASP***。呵呵
上传的格式为：xxx.asp;_200.jpg
注意他是用.jpg的格式上传，但中间有.asp，这样也能执行脚本，应该也是IIS的BUG。

 

.jpg***也可以把ASP***改成后缀名字为JPG的文件，上传到网站，然后以通过备份数据库的方法，恢复JPG格式为ASP***。从而控制网站。通常如果只是上传JPG格式的ASP***，是起不到破坏作用的。

解决方法：
一、能上传的目录给IIS不允许执行脚本的权限。
二、利用其它带文件防护功能的软件防止*.asp;*.jpg写入文件。
三、所有目录允许读取，只要是写入的文件夹在IIS里请将脚本改为无。如果没有服务器的朋友，那被传马那也没办法了，除非你可以协调空间商帮你做这些操作。。