IIS
IIS是Internet Information Services的缩写,意为互联网信息服务,是由微软公司提供的基于运行MicrosoftWindows的互联网基本服务。
IIS目前只适用于Windows系统,不适用于其他操作系统。
解析漏洞
IIS 6.x
基于文件名
该版本默认会将*.asp;.jpg此种格式的文件名,当成Asp解析,原理是服务器默认不解析;号及其后面的内容,相当于截断。
基于文件夹名
该版本 默认会将 *.asp/目录下的所有文件当成Asp解析。
另外,IIS6.x除了会将扩展名为.asp的文件解析为asp之外,还默认会将扩展名为.asa,.cdx,.cer解析为asp,
从网站属性->主目录->配置 可以看出,他们都是调用了asp.dll进行的解析。
修复建议
由于微软并不认为这是一个漏洞,也没有推出IIS 6.0的补丁,因此漏洞需要自己修复。
点击领取优快云大礼包:《黑客&网络安全入门&进阶学习资源包》免费分享
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部教程
1.限制上传目录执行权限,不允许执行脚本。
2.不允许新建目录。
3.上传的文件需经过重命名(时间戳+随机数+.jpg等)
IIS 7.x
安装IIS7.5
1.控制面板 -> 程序 -> 打开或关闭windows功能。
-
下载php-5.2.6-win32-installer.msi
-
打开msi,一直下一步来到选择web serversetup的界面,在这里选择IISfastcgi,之后一直下一步。 4.打开IIS,管理工具 ->Internet 信息服务(IIS)管理器
-
选择编辑ISAPI或者CGI限制
添加安装的php-cgi.exe路径,描述随意。