涉及程序:
Microsoft Internet Information Server/Index Server
描述:
震撼安全发现:新的漏洞允许查看web服务器上任何文件包括ASP源码
详细:
IIS4.0上有一个应用程序映射htw---webhits.dll,这是用于Index Server的点击功能的。尽管你不运行Index Server,该映
射仍然有效。这个应用程序映射存在漏洞,允许入侵者读取本地硬盘上的文件,数据库文件,和ASP源代码!
有两种方法来实现,第一,如果你的web server上存在.htw后缀的文件,则可以过下面的方式来查看文件内容,比如查看
odbc.ini文件的内容:
http://www.xxx.com/iissamples/issamples/oop/qfullhit.htw?
CiWebHitsFile=/../../winnt/odbc.ini&CiRestriction=none&CiHiliteType=Full
对于IIS的一般安装模式可以在下列位置找到.htw文件:
/iissamples/issamples...[ 查看全文 ]