整天在这乱兜圈子
刚刚把我的域名的dns都换国内的了 在国外注册域名 用国内的dns 然后IP还要解析到国外 都是正规网站,就为了不被关闭但又要国内可以更正常一点打开.
一起去养蜂 Ooo.Max.ooO
很多企业站点还是使用asp程序,那边 也就是跑在经典的win2003+iis6的WEB环境下。
几年前IIS出过一个目录解析漏洞 就是 URL目录里 存在.asp字符。那么该目录下的文件会作为 asp文件来执行。如果在上传检查时不够严格,那么会出现严重的安全隐患。
这次发现的 IIS解析漏洞 出现了新的 形式 如下
1_asp;.jpg 只需要存在这样的文件名,机会被当做 ASP程序执行,由于不需要创建指定名称的目录,危害性还是很大的。
防范方法有以下三方面:
1.程序对于上传的文件进行文件类型检查。
2.对于upload目录设置IIS站点 无脚本执行权限。
3。 批量设置,使用IIS 的REWRITE功能。对于IDC服务商 比较有效,比较 不能挨个帮客户检测程序。
以下为整理的 URL规则,高中 排列组合 学的太烂,大小写切换 名称 都看晕了。