假期中 IIS 問題的調查結果 [轉譯]

我們所看到的是：IIS 6 僅在處理 URL 中的分号時會出現不一緻性。報道中的說法僅僅是抓住了這個不一緻性，就聲稱這會導緻黑客繞過内容過濾軟體，然後向 IIS 伺服器上傳和執行代碼。

事實上最關鍵的問題是：攻擊能夠成功的前提在于 IIS 伺服器必須被配置成在同一目錄下同時允許“寫”和“執行”的權限。這并不是 IIS 的預設配置，而且有悖于我們釋出的任何最佳實踐指導。簡言之，做這種配置的 IIS 伺服器本身就赤裸裸地向黑客敞開了大門。

是以，使用者隻要使用預設配置的 IIS 6.0 或者遵循我們推薦的最佳實踐指導，就無須對這個問題有任何擔憂。不過，如果你的 IIS 在同一目錄下同時允許“寫”和“執行”的權限，就像上述攻擊前提中描述的那樣，我們建議你仔細閱讀我們的最佳實踐，馬上修改配置，進而更好地保護系統免受不當配置會導緻的威脅。重申一次，下面是我們的最佳實踐資源清單：

<a href="http://technet.microsoft.com/en-us/library/cc782762(WS.10).aspx">IIS 6.0 安全最佳實踐</a>

<a href="http://technet.microsoft.com/en-us/library/cc756133(WS.10).aspx">用 Web 站點權限保護站點安全</a>

<a href="http://technet.microsoft.com/en-us/library/cc785089(WS.10).aspx">IIS 6.0 操作指導</a>

<a href="http://msdn.microsoft.com/en-us/library/ms994921.aspx">改進 Web 應用安全：威脅與對策</a>

希望上述内容可以打消大家的疑慮。

祝大家假期愉快，新年快樂！

Christopher

*文章内容是“按目前情況”，不作任何保證，且不賦予任何權利*