Windows 2003 Enterprise Edition IIS6 目录检查漏洞描述

转:http://www.72e.net/host/special.aspx?cid=mey

Windows 2003 Enterprise Edition是微软目前主流的服务器操作系统。 Windows 2003 IIS6 存在着文件解析路径的漏洞，当文件夹名为类似hack.asp的时候（即文件夹名看起来像一个ASP文件的文件名），此时此文件夹下的任何类型的文件(比如.gif，.jpg，.txt等)都可以在IIS中被当做ASP程序来执行。这样黑客即可上传扩展名为jpg或gif之类的看起来像是图片文件的木马文件，通过访问这个文件即可运行木马。因为微软尚未发布这个漏洞的补丁，所以几乎所有网站都会存在这个漏洞。并且，经我司技术人员测试，这个问题不限于asp,甚至php, CGI等都存在这种问题。目前国内大部分的网站都是运行在IIS6下，如果这些网站中有任何一个文件夹的名字是以 .asp .php .cer .asa .cgi .pl 等结尾，那么放在这些文件夹下面的任何类型的文件都有可能被认为是脚本文件而交给脚本解析器而执行，如果黑客将一个 hack.asp 文件改名为 hack.gif 上传到这些目录中，那么不堪设想...

扩展名为jpg/gif的木马检查方法：

在资源管理器中使用详细资料方式，按类别查看。点“查看”菜单－－“选择详细信息”－－勾选上“尺寸”，确定。此时，正常的图片文件会显示出图片的尺寸大小，如果没有显示，则99%可以肯定是木马文件。用记事本程序打开即可100%确定.

扩展名为jpg/gif的木马检查方法：
在资源管理器中使用详细资料方式，按类别查看。点“查看”菜单－－“选择详细信息”－－勾选上“尺寸”，确定。此时，正常的图片文件会显示出图片的尺寸大小，如果没有显示，则99%可以肯定是木马文件。用记事本程序打开即可100%确定.

经过自己测试,只要与c:\windows\system32\inetsrv\asp.dll有关的后缀都有此漏洞.支持多级目录,例如1.asp/abc/1.jpg            1.asp/2.asp/1.jpg.

无法重现php,cgi情况.