unicode编码漏洞,具体是怎么利用的
发布网友
共1个回答
热心网友
下载是我转载的一篇文章，讲得比较全，因为篇幅大小的原故，不能在这里粘贴完，要看完整的文章，请查看这个网址： et/docs/network/unicode.htm漏洞描述： 微软IIS 4.0和5.0都存在利用扩展UNICODE字符取代"/"和"\"而能利用"../"目录遍历的漏洞。未经授权的用户可能利用IUSR_machinename账号的上下文空间访问任何已知的文件。该账号在默认情况下属于Everyone和Users组的成员，因此任何与Web根目录在同一逻辑驱动器上的能被这些用户组访问的文件都能被删除，修改或执行，就如同一个用户成功登陆所能完成的一样。此漏洞对于打了SP2（包括SP2）以上版本无效！ 测试方法: x.x.x.x/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir 解决方案:建议所有用户都打sp3
热心网友
下载是我转载的一篇文章，讲得比较全，因为篇幅大小的原故，不能在这里粘贴完，要看完整的文章，请查看这个网址： et/docs/network/unicode.htm漏洞描述： 微软IIS 4.0和5.0都存在利用扩展UNICODE字符取代"/"和"\"而能利用"../"目录遍历的漏洞。未经授权的用户可能利用IUSR_machinename账号的上下文空间访问任何已知的文件。该账号在默认情况下属于Everyone和Users组的成员，因此任何与Web根目录在同一逻辑驱动器上的能被这些用户组访问的文件都能被删除，修改或执行，就如同一个用户成功登陆所能完成的一样。此漏洞对于打了SP2（包括SP2）以上版本无效！ 测试方法: x.x.x.x/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir 解决方案:建议所有用户都打sp3
