IIS 6 是否可以提供未处理的 ASP/ASPX 页面？答案

【问题标题】：Is it possible for IIS 6 to serve unprocessed ASP/ASPX pages?IIS 6 是否可以提供未处理的 ASP/ASPX 页面？
【发布时间】：2009-05-05 15:20:52
【问题描述】：

我能找到的关于这个主题的唯一内容是 1997 年的一篇帖子 (http://insecure.org/sploits/microsoft.asp.iis.html)，所以我希望这里的人可能对这个主题有更多的了解：

有谁知道 IIS6 中是否存在任何已知漏洞，允许用户在获得服务器控制权之外查看未处理的 ASP 或 ASPX 页面？

【问题讨论】：

【解决方案1】：

仅当这些扩展从站点的应用程序映射中删除，或者您做了一些其他愚蠢的事情来配置它时，IIS 才会提供原始 asp 或 aspx。

【讨论】：

【解决方案2】：

为什么需要未经处理的 asp 页面？您可以只拥有一个链接，该链接将转义页面并将其放入用户的网页中。

对我来说，这将是一个潜在的安全风险，因为如果你忘记并留下了一个安全漏洞，它就会被发现。

【讨论】：

【解决方案3】：

如果您没有正确设置脚本映射，这可能是一个问题，但这更多是部署时的问题，而不是运行时的问题。

我认为该领域的任何其他漏洞都与应用程序相关（选择文件下载服务器端...），而不是与平台相关。

【讨论】：

【解决方案4】：

您是否担心人们能够看到您的源代码？如果是这样，我就不会太担心了，尤其是使用 .net 和使用文件隐藏代码，以及正确架构的 n 层站点。

真的，唯一需要担心的是，如果您的页面出现错误并吐出调试代码，即使是经典的 asp。

【讨论】：