① 怎么判断网站存在iis解析漏洞
在 Windows 2003 IIS 6.0 下有两个漏洞，微软一直没有给出补丁。
漏洞1：
在网站下建立文件夹的名字为 *.asp、*.asa 的文件夹，其目录内的任何扩展名的文件都被 IIS 当作 asp 文件来解析并执行。例如创建目录 vin.asp，那么 /vin.asp/1.jpg 将被当作 asp 文件来执行。
那么我们来测试一下，在网站下创建一个目录“vin.asp”，并在目录下创建一个文件名为“1.jpg”的文件(假设是用户作为头像上传上来的)， 用记事本打开“1.jpg”文件，输入：
Now is: <%=Now()%>
如图所示，如果其中的 asp 脚本能被执行，那么恭喜您：漏洞存在。
打开浏览器，输入地址，执行效果如下：
漏洞2：
网站上传图片的时候，将网页木马文件的名字改成“*.asp;.jpg”，也同样会被 IIS 当作 asp 文件来解析并执行。例如上传一个图片文件，名字叫“vin.asp;.jpg”的木马文件，该文件可以被当作 asp 文件解析并执行。
在网站目录下创建文件“vin.asp;.jpg”，代码内容与上面 1.jpg 相同，打开浏览器，输入地址，执行效果如下 ：
这两个漏洞实在太可怕了，足以让每一个站长望而崩溃，更让站长崩溃的是微软至今没有发布补丁！
如何避免“IIS解析漏洞”？
在我写这篇文章的时候，微软依然没有发布任何补丁。这个漏洞已经使得无数网站遭受攻击。
程序开发者应该如何避免该漏洞被利用？
1，必须在写程序的时候特别注意，上传图片后一定要用随机的数字或英文来重命名，文件名中最好不要含有其他字符，更不能让用户定义图片文件的名字。
2，对于网盘系统来说，如果支持目录创建并允许用户自定义目录名，且在真实的物理磁盘上创建了这个目录的话，必须注意：目录名必须要严格检查，最好是只允许输入英文和数字。但最好是用数据库记录文件夹的层次结构，不要让用户知道真实的磁盘地址对应。
我们不能坐以待毙，不能等待程序开发者升级程序或者期望微软给出补丁(至少大半年过去了，微软依然没有补丁发布)。
解决办法总是有的：
“微盾™非法信息拦截专家”为你提供终极解决方案，无需等待程序开发者的修补，也不指望微软发布补丁。简单的 两个步骤即可修补漏洞。
“微盾™非法信息拦截专家”关于“IIS解析漏洞”的解决方案
第一步：从微盾网站下载最新版本的“微盾™非法信息拦截专家”，下载地址是：
http://rd.vin.net/?5002
第二步：配置拦截参数，打开“微盾™非法信息拦截专家”配置工具 » 设置 » 拦截 » SQL注入拦截，如下图：
要添加的内容就是红圈里圈定的 4 条配置，分别是：
*.asp/*
*.asa/*
*.asp;*
*.asa;*
输入配置后，点“保存”按钮即可，如果未能及时生效，请重启 IIS。
让我们来看看安装“微盾™非法信息拦截专家”后的效果。
即使服务器未修补漏洞，访问一下试试：
② IIS短文件名泄露漏洞如何解决
我正在尝试用IIS 7 里面的请求筛选，过滤~ ,* 字符
③ 如何修复IIS短文件名泄露漏洞
打开腾讯电脑管家——工具箱——修复漏洞，进行漏洞扫描和修复。
建议设内置开启容自动修复漏洞功能，开启后，电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，第一时间自动进行修复，无需用户参与，最大程度保证用户电脑安全。尤其适合老人、小孩或计算机初级水平用户使用。开启方式如下：进入电脑管家“修复漏洞”模块—“设置”，点击开启自动修复漏洞即可。
④ 什么是IIS漏洞
由于宽带越来越普及，给自己的win2000或是xp装上简单易学的iis，搭建一个不定时开放的ftp或是web站点，相信是不少电脑爱好者所向往的，而且应该也已经有很多人这样做了。但是iis层出不穷的漏洞实在令人担心。远程攻击着只要使用webdavx3这个漏洞攻击程序和telnet命令就可以完成一次对iis的远程攻击，
利用iis的webdav漏洞攻击成功后的界面
这里的systen32就指的是对方机器的系统文件夹了，也就是说黑客此刻执行的任何命令，都是在被入侵的机器上运行的。这个时候如果执行format命令，危害就可想而知了，用net user命令添加帐户也是轻而易举的。
应对措施：关注微软官方站点，及时安装iis的漏洞补丁。
⑤ 如何修复iis短文件名泄露漏洞
1.关闭NTFS 8.3文件格式的支持。该功能默认是开启的，对于大多数用户来说无需开启。
如果是虚拟主机空间用户，请联系空间提供商进行修复。
⑥ Microsoft IIS 安全扩展名输入验证漏洞(CVE-2009-4445)，如何移除上传目录的可执行权限，这个你解决了吗
你的iis是6.0吧 没事升级到iis7
那个暂时只有大家喜欢用的伪静态规则 把asp;jpg这样的文件 重定向到一个页面
描述:
Microsoft IIS is prone to a security-bypass vulnerability.
This vulnerability may result in IIS interpreting unexpected files as CGI applications. Attackers may be able to exploit this vulnerability to bypass intended security restrictions.
Microsoft Internet Information Services (IIS) 5.x and 6.x uses only the portion of a filename before a ; (semicolon) character to determine the file extension, which allows remote attackers to bypass intended extension restrictions of third-party upload applications via a filename with a (1) .asp, (2) .cer, or (3) .asa first extension, followed by a semicolon and a safe extension, as demonstrated by the use of asp.dll to handle a .asp;.jpg file.
解决方案: Apply associated Trend Micro DPI Rules.
过滤器标识号(IDF): 1003896
过滤器标题: 1003896 - Microsoft IIS Multiple Extension Processing Security Bypass
受感染软件和版本:
microsoft iis 5.0
microsoft iis 5.06
microsoft iis 5.1
microsoft iis 6.0