内容摘要：2023年7月，微软发布例行安全更新，一个潜伏在IISInternet Information Services）中的远程代码执行漏洞被标记为“严重”——CVE-2023-36899。攻击者不需要任何

2023年7月，证令微软发布例行安全更新，牌处一个潜伏在IIS（Internet Information Services）中的理远远程代码执行漏洞被标记为“严重”——CVE-2023-36899。攻击者不需要任何用户交互，程代只需向目标服务器发送特制的码执HTTP请求，就能在系统权限级别执行任意代码。行漏这不是证令理论推演，安全研究团队在漏洞披露后48小时内就复现了完整的牌处攻击链。

问题出在IIS处理认证令牌的理远方式上。当客户端发起请求时，程代IIS会解析包含在Cookie或Authorization头中的码执认证信息。这里有个隐蔽的行漏逻辑缺陷：在特定条件下，IIS会错误地将部分用户输入当作已认证的证令会话令牌来处理。攻击者可以精心构造一个畸形令牌，牌处让IIS的理远解析器陷入混乱状态，从而触发内存损坏。更棘手的是，这个漏洞影响IIS 10.0及更早版本，意味着从Windows Server 2012到2022都在射程范围内。

我一直在跟踪微软的补丁公告。这次修复并不只是简单地加个边界检查，而是重写了认证模块中的令牌验证流程。微软在补丁说明里用了“improved handling”这种含糊措辞，但实际改动涉及底层数据结构的变化——这通常意味着原始问题比表面看起来更深。有意思的是，漏洞发现者并非微软内部团队，而是一家名为MDSec的安全咨询公司的研究员，他们在研究另一个IIS漏洞时意外发现了这个更危险的入口。

实际攻击场景比想象中更致命。假设一台承载着企业ERP系统的IIS服务器，攻击者先通过常规扫描发现它使用Windows集成认证。然后，利用这个漏洞发送一系列精心编排的请求，每个请求都携带变形的SPNEGO令牌。一旦成功触发，攻击者就能在服务器上创建具有管理员权限的账户。整个过程不需要任何凭据，也不需要诱导用户点击链接——纯粹通过端口80/443的合法流量就能完成。

对运维人员来说，最直接的缓解措施是立即应用7月累积更新。但如果你的环境不允许停机维护，至少可以临时禁用不必要的Windows认证方法，或者使用URL授权规则限制敏感路径的访问。不过要明白，这些只是权宜之计。IIS的认证模块是个复杂的遗留系统，从Windows 2000时代就开始积累代码，这类深层逻辑缺陷很难通过小修小补彻底根除。

有个细节值得玩味。微软在同一个补丁周期里，还修复了另一个IIS相关的拒绝服务漏洞，但公开披露的细节远少于这个RCE。这让我怀疑，可能还有更多类似的认证处理问题被悄悄掩盖了。毕竟，IIS的市场份额虽然被Apache和Nginx挤压，但在企业内网和Windows生态中依然是绝对主力——很多遗留系统运行了十年以上，根本没人敢动它们。

话说回来，这类漏洞的发现频率正在加快。过去两年，IIS相关的安全公告数量比前五年总和还多。这未必意味着IIS变差了，更可能是因为安全研究者的注意力终于转向了这个被忽视的领域。对于还在使用IIS的团队，我的建议是：别再把IIS当作“默认安全”的组件了，它和你精心防护的应用层同样需要持续关注。至少，把每个月的补丁日当回事儿，别总想着“等稳定了再打”。