iis85漏洞

2003年，一台连着公网的Windows Server 2003机器，只要开着IIS6.0，别人往你IP后面敲一串精心构造的地址，就能直接看到你C盘里的文件。不是黑客炫技，是协议本身漏了底裤。这台机器我亲手配过，当年给本地一家小公司搭了个文件共享站，第二天就收到报警邮件——日志里多出几十条来自国外的“PROPFIND”请求。

IIS6.0的WebDAV扩展默认是启用的，而它对“Translate: f”这个头部的处理存在严重缺陷。攻击者发送一个带有特殊头部的OPTIONS请求，服务器就傻乎乎地把脚本源码吐出来。更离谱的是，如果配合“PUT”方法，你甚至可以直接往服务器上扔一个ASP木马。整个过程不需要任何账号密码，就像你家的门锁没坏，但门本身能被人从铰链上拆下来。

这个漏洞的可怕之处不在技术门槛，而在它的“安静”。没有弹窗，没有报错，系统日志里只留下几条看似无害的HTTP 207响应。我亲眼见过一个被入侵的服务器，攻击者上传了一个伪装成图片的ASP文件，藏在upload目录里，用记事本打开才能看到里面三行代码。那三行代码后来被安全公司分析，发现是个远控后门，能执行任意命令。而服务器管理员直到一个月后才发现，因为CPU占用率只高了2%，流量也只多了几十兆。

修补方案其实很简单，微软在2009年就发布了补丁，KB969905。但问题在于，很多用IIS6.0的老系统，比如某些银行的内部OA、老牌ERP系统，根本不敢重启服务器打补丁。我接触过一个案例，某制造企业的一台2003服务器跑了整整八年，上面挂着车间排产系统，打补丁意味着要停线半小时，生产主管直接拒绝。结果那年夏天，他们的排产数据被人拖走，勒索信直接发到了总经理邮箱。

后来我养成了个怪习惯——看到任何还在用IIS6.0的服务器，第一反应不是扫描漏洞，而是先看它跑什么业务。如果是个没人维护的老系统，我甚至劝对方直接断网，别连外网。这漏洞暴露的不只是代码缺陷，更是运维惰性的缩影。技术上的洞能补，人脑子里的洞补不了。

现在Windows Server 2003早停服了，IIS6.0也成了博物馆里的展品。但偶尔在攻防演练中，还能扫到几台漏网的。每次看到那种返回头“Server: Microsoft-IIS/6.0”的响应包，我都觉得像在考古现场挖到一枚没引爆的地雷。你问我会不会后怕？说真的，比起当年那些深夜盯着日志排查的紧张感，现在更让我后背发凉的是——居然还有人觉得“能用就行”。

(责任编辑：知识)