绿盟安全月刊->第18期->最新漏洞 IIS 5.0 %3F+.htr 文件泄漏漏洞

日期：2001-02-05

受影响的系统:  
Microsoft Internet Information Server 4.0
Microsoft Internet Information Service 5.0
描述:
--------------------------------------------------------------------------------


如果提供一个特殊的GET请求，IIS 5.0将会泄漏某些CGI文件的内容。
例如下列URL:

http://TARGETIIS/scripts/test.pl%3F+.htr

将会泄漏/scripts/test.pl的内容而不是去执行此CGI程序。

<* 来源：Georgi Guninski (guninski@guninski.com) *>




--------------------------------------------------------------------------------
建议:

临时解决方法：

NSFOCUS建议您立刻删除HTR映射。

厂商补丁：

微软已经为此发布了一个安全公告MS01-004并提供了补丁下载。
微软安全公告地址：http://www.microsoft.com/technet/security/bulletin/MS01-004.asp
补丁地址：
IIS 4.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=27492
IIS 5.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=27491