怎么判断网站存在iis解析漏洞

在 Windows 2003 IIS 60 下有两个漏洞，微软一直没有给出补丁。

漏洞1：

在网站下建立文件夹的名字为 asp、asa 的文件夹，其目录内的任何扩展名的文件都被 IIS 当作 asp 文件来解析并执行。例如创建目录 vidunasp，那么 /vidunasp/1jpg 将被当作 asp 文件来执行。

那么我们来测试一下，在网站下创建一个目录“vidunasp”，并在目录下创建一个文件名为“1jpg”的文件(假设是用户作为头像上传上来的)， 用记事本打开“1jpg”文件，输入：

Now is: <%=Now()%>

如图所示，如果其中的 asp 脚本能被执行，那么恭喜您：漏洞存在。

打开浏览器，输入地址，执行效果如下：

漏洞2：

网站上传的时候，将网页木马文件的名字改成“asp;jpg”，也同样会被 IIS 当作 asp 文件来解析并执行。例如上传一个文件，名字叫“vidunasp;jpg”的木马文件，该文件可以被当作 asp 文件解析并执行。

在网站目录下创建文件“vidunasp;jpg”，代码内容与上面 1jpg 相同，打开浏览器，输入地址，执行效果如下 ：

这两个漏洞实在太可怕了，足以让每一个站长望而崩溃，更让站长崩溃的是微软至今没有发布补丁！

如何避免“IIS解析漏洞”？

在我写这篇文章的时候，微软依然没有发布任何补丁。这个漏洞已经使得无数网站遭受攻击。

程序开发者应该如何避免该漏洞被利用？

1，必须在写程序的时候特别注意，上传后一定要用随机的数字或英文来重命名，文件名中最好不要含有其他字符，更不能让用户定义文件的名字。

2，对于网盘系统来说，如果支持目录创建并允许用户自定义目录名，且在真实的物理磁盘上创建了这个目录的话，必须注意：目录名必须要严格检查，最好是只允许输入英文和数字。但最好是用数据库记录文件夹的层次结构，不要让用户知道真实的磁盘地址对应。

我们不能坐以待毙，不能等待程序开发者升级程序或者期望微软给出补丁(至少大半年过去了，微软依然没有补丁发布)。

解决办法总是有的：

“微盾™非法信息拦截专家”为你提供终极解决方案，无需等待程序开发者的修补，也不指望微软发布补丁。简单的 两个步骤即可修补漏洞。

“微盾™非法信息拦截专家”关于“IIS解析漏洞”的解决方案

第一步：从微盾网站下载最新版本的“微盾™非法信息拦截专家”，下载地址是：

http://rdvidunnet/5002

第二步：配置拦截参数，打开“微盾™非法信息拦截专家”配置工具 » 设置 » 拦截 » SQL注入拦截，如下图：

要添加的内容就是红圈里圈定的 4 条配置，分别是：

asp/

asa/

asp;

asa;

输入配置后，点“保存”按钮即可，如果未能及时生效，请重启 IIS。

让我们来看看安装“微盾™非法信息拦截专家”后的效果。

即使服务器未修补漏洞，访问一下试试：

电脑黑客们总是希望知道尽可能多的信息，比如：是否联网、内部网络的架构以及安全防范措施的状态。一旦那些有经验的黑客盯上了你的网络系统，他们首先会对你的系统进行 分析。这就是为什么我们说运用黑客的“游戏规则”是对付黑客的最好办法的原因。以黑客的眼光来审视网络安全性，往往可以发现很多潜在的安全漏洞。这样做不仅提供了审视 你网络系统的不同视角，而且让你能够从你的敌人，即黑客的角度来指导你采取最有效的网络安全措施。 下面，我们来看一下网络系统分析的过程。这个过程要用到开源工具和相关技术。 用开源工具收集信息 首先，登录Whoiscom网站查找你企业的域名，检索结果将会显示出你的网络系统所使用的DNS服务器。然后，再使用一些软件工具，如：nslookup，来进一步挖掘DNS服务器的详细 信息。 接下来，需要将目标转向于企业的公众Web站点和你能找到的匿名FTP服务器。注意，你现在需要关注的信息主要是：域名、这些域名的IP地址、入侵检测系统的所有信息、用户名 、电话号码、电子邮件地址、物理位置、已发布的安全策略、业务合作伙伴的资料、以及新并购企业的信息。 此外，在你的上述搜索操作中，一定要特别注意这些网站上已显示的和没有显示的信息。最好，把这些网页存入你的电脑中，然后用记事本程序打开，查看网页的源代码。一般而言，查看网页的源代码可以大量的信息，这也就是某些站点有意对浏览者屏蔽源代码的原因。在源代码文件中，你也许能够了解到网站开发者建站的方式：他们所使用的软 件类型及软件版本、网站以及网页的架构，有时候甚至能够发现一些网站管理员的个人资料。 业务合作伙伴的站点或一些新的并购企业的站点往往是黑客入侵的关键点。这些站点是间接入侵目标站点的最佳突破口，容易被网站管理员所忽视，给黑客攻击者制造了大量的机 会。如果你在这方面没有足够的警惕性，疏忽大意，很草率地新某个新的业务合作者的网站和你自己的站点联接起来，往往会造成很严重的后果，给你的站点带来极大的安全威胁 在这样的情况下，安全问题比经营问题更加重要，一定要确保安全操作。 从外部审视网络 有了上述信息收集，你可以开始审视你的网络了。你可以运用路径追踪命令来查看你的网络拓扑结构图和访问控制的相关设置。你会获得大量交换机的特征信息，用来旁路访问控 制设备。 注意，命令的反馈结果会因为所使用操作系统的不同而有所差别。UNIX操作系统使用UDP，也可以选择使用ICMP；而Windows操作系统默认用ICMP来响应请求（Ping）。 你也可以用开源工具管理大量ping sweep、执行TCP/UDP协议扫描、操作系统探测。这样做的目的就是要了解，在那些外部访问者的眼中，你的网络系统的运行状况和一些基本的面 貌、特征。因此，你需要检验你的网络系统，哪些端口和服务对外部访问者是开放的或可用的，外部访问者是否可以了解到你所使用的操作系统和一些程序，极其版本信息。简言 之，就是要了解到你的网络系统究竟对那些外部访问者开放了哪些端口或服务，泄露了哪些站点的基本信息。 在你开始上述工作之前，你必须要先获得足够的授权，才能进入整个网络系统并对其进行考察、分析。千万不要将你了解到信息告知那些不怀好意的人。记住：安全防护是一个实 施过程，而不仅仅是一种技术。

1、渗透测试 (penetration test)并没有一个标准的定义，国外一些安全组织达成共识的通用说法是:渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。

2、渗透测试能够通过识别安全问题来帮助一个单位理解当前的安全状况。这使促使许多单位开发操作规划来减少攻击或误用的威胁。

3、渗透测试有时是作为外部审查的一部分而进行的。这种测试需要探查系统，以发现操作系统和任何网络服务，并检查这些网络服务有无漏洞。你可以用漏洞扫描器完成这些任务，但往往专业人士用的是不同的工具，而且他们比较熟悉这类替代性工具。

4、渗透测试的作用一方面在于，解释所用工具在探查过程中所得到的结果。只要手头有漏洞扫描器，谁都可以利用这种工具探查防火墙或者是网络的某些部分。但很少有人能全面地了解漏洞扫描器得到的结果，更别提另外进行测试，并证实漏洞扫描器所得报告的准确性了。

5、漏洞扫描是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测(渗透攻击)行为。

6、漏洞扫描技术是一类重要的网络安全技术。它和防火墙、入侵检测系统互相配合，能够有效提高网络的安全性。通过对网络的扫描，网络管理员能了解网络的安全设置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。网络管理员能根据扫描的结果更正网络安全漏洞和系统中的错误设置，在黑客攻击前进行防范。如果说防火墙和网络监视系统是被动的防御手段，那么安全扫描就是一种主动的防范措施，能有效避免黑客攻击行为，做到防患于未然。

7、网络安全事故后可以通过网络漏洞扫描/网络评估系统分析确定网络被攻击的漏洞所在，帮助弥补漏洞，尽可能多得提供资料方便调查攻击的来源。

8、互联网的安全主要分为网络运行安全和信息安全两部分。网络运行的安全主要包括以ChinaNet、ChinaGBN、CNCnet等10大计算机信息系统的运行安全和其它专网的运行安全;信息安全包括接入Internet的计算机、服务器、工作站等用来进行采集、加工、存储、传输、检索处理的人机系统的安全。网络漏洞扫描/网络评估系统能够积极的配合公安、保密部门组织的安全性检查。

关于如何防止sql注入攻击，我们从以下几点开始入手：

1、首先我们可以了解到sql注入攻击都是通过拼接的方式，把一些恶意的参数拼接到一起，然后在网站的前端中插入，并执行到服务器后端到数据库中去，通常我们在写PHP网站代码的时候会将get ID这个参数值获取到后直接拼接到后端服务器中去，查询数据库，但是如果拼接了一些恶意的非法参数，那么久可以当做sql语句来执行，如果防止sql注入呢？

2、为了防止网站被sql注入攻击，我们应该从一开始写代码的时候就应该过滤一些sql注入的非法参数，将查询的一些sql语句，以及用户输入的参数值都以字符串的方式来处理，不论用户输入的什么东西，在sql查询的时候只是一段字符串，这样构造的任何恶意参数都会以字符串的方式去查询数据库，一直恶意的sql注入攻击就不会被执行，sql注入语句也就没有效果了，再一个就是网站里的任何一个可以写入的地方尽可能的严格过滤与限制，漏下一个可以输入的地方网站就会被攻击，网站就会被黑，所有做的网站安全就会没有效果，包括一些get,post,cookie方式的提交都是不可信的，像数据表里referer user-agent等字段都是可以伪造，写入sql注入语句的，像前端时间爆发的ecshop漏洞利用的就是userphp,伪造referer参数进行了sql注入，执行了远程代码。

3、再一个防止sql注入的方法就是开启PHP的魔术配置，开启安全配置模式，将safe_mode开启on以及关闭全局变量模式，register_globals参数设置为on,magic_quotes_gpc参数开启。

最简单的办法，安装个360安全卫士，系统漏洞扫描把补丁打全，再把软件漏洞补上，建一个开机批处理删除磁盘默认共享，基本没什么问题了。还不放心下个软件或者手动建批处理把不用的端口都关闭掉如果你清楚自己那些端口是你不用的话。

网站漏洞 很广泛的问题 要看你的网站是采用什么语言ASP PHP JSP 或者 HTML 静态 ASP PHP JSP 都有可能存在SQL注射漏洞 攻击者,可以通过穷举提交,找到你的后台登陆地址和管理员帐号密码登陆后台 上传ASP木马从而控制整台服务器其次就是你的服务器问题,也就是系统问题,上述统称脚本漏洞 要检测是否存在注射请关注相关文章范围非片语可以概括