IIS 6.0 ASP 目錄與分號漏洞：ISAPI_Rewrite 緊急修補方案

漏洞原理解析

1. 分號漏洞（; 繞過副檔名檢查）

Windows 檔案搜尋以分號為多檔案分隔符。上傳 shell.asp;.jpg 時：

• IIS 解析為 shell.asp → 執行 ASP 程式碼
• Windows 檔案系統視為 shell.asp 與 .jpg 兩個檔案 → 搜尋不到實體檔

同理 .cdx、.cer 等 ASP 映射副檔名皆可被利用。

2. ASP 目錄漏洞

建立名為 evil.asp 的目錄，其下所有檔案（含圖片、文字檔）均會被 IIS 當作 ASP 執行。

緊急修補：ISAPI_Rewrite + 規則檔

部署步驟

1. 下載「銀月伺服器工具」→ 組件下載器取得 ISAPI_Rewrite
2. 解壓後，將 ISAPI_Rewrite.dll 於 IIS 中新增為 ISAPI 篩選器（名稱：ISAPI_Rewrite）
3. 下載漏洞補丁包，取出 httpd.ini 覆蓋 ISAPI_Rewrite 目錄下的同名檔
4. 或手動確認 httpd.ini 含有以下兩條核心規則：

# 阻擋分號漏洞
RewriteRule .*;.*\.asp$ /block.asp [F,I,O]
# 阻擋 ASP 目錄漏洞
RewriteRule ^([^/]+\.asp)/ /block.asp [F,I,O]

驗證測試

• 上傳測試檔 test.asp;.jpg → 存取應導向封鎖頁面（補丁包含示意圖片）
• 建立 test.asp 目錄置入任意檔 → 存取應被攔截

補充防護建議

• 移除不必要的副檔名映射（.cdx、.cer 等）
• 上傳目錄設定「執行權限：無」+ 寫入權限互斥
• 定期掃描 Web 目錄異常檔案
• 升級至 IIS 7.0+ 並啟用請求篩選模組（原生支援雙重編碼、路徑遍歷防護）