版本差異提示
「啟用父路徑」選項自 Windows Server 2003 (IIS 6.0) 引入。Windows 2000 內建 IIS 5.0 無此設置**，預設允許父路徑。若在 Win2003+ 環境遷移舊應用，才需關注本文操作。
功能原理與風險
- 作用： 允許 ASP 使用
../ 訪問上級目錄文件（如
- 風險： 若攻擊者控制包含路徑參數，可遍歷讀取 Web 根目錄外的敏感文件（web.config、密碼文件等）。
- 缺省： IIS 6.0+ 安裝後默認 禁用** 父路徑。
啟用步驟（圖文版）
- 打開「Internet Information Services (IIS) 管理器」。
- 展開本地計算機 → 右鍵目標網站/虛擬目錄 → 「屬性」。
- 切換「主目錄」/「虛擬目錄」標籤 → 點擊「配置」。
- 在「應用程序配置」→「選項」標籤下，勾選「啟用父路徑」。
- 連點「確定」保存 → 右鍵網站 → 「重新啟動」。
圖1：右鍵默認網站選擇屬性
圖2：切換至主目錄標籤
圖3：點擊配置按鈕進入應用程序配置
替代方案：虛擬目錄映射
若因合規不可開啟父路徑，可在 IIS 建立虛擬目錄指向共享庫路徑，代碼改用 /common/header.asp 絕對虛擬路徑引用，兼顧安全與復用。
