内容摘要：iis75漏洞：一场被遗忘的权限战争 2009年，安全研究员Soroush Dalili在IIS 7.5的URL解析逻辑里发现了一个诡异的特性——当请求路径包含分号时，服务器会忽略分号后的所有内容。这

iis75漏洞：一场被遗忘的权限战争

2009年，安全研究员Soroush Dalili在IIS 7.5的URL解析逻辑里发现了一个诡异的特性——当请求路径包含分号时，服务器会忽略分号后的所有内容。这个看似无害的细节，直接让WebDAV的权限校验形同虚设。攻击者只需在文件名后追加`;.jpg`，就能让服务器把ASP脚本当作静态图片处理，从而绕过上传限制。

我亲眼见过一个案例。某政府门户网站的新闻图片上传接口，开发人员用白名单锁死了扩展名，只允许`.jpg`、`.png`。结果呢？攻击者上传了`shell.asp;.jpg`，服务器端校验通过，文件落地时IIS自动截断了分号后的内容——一个完整的ASP后门就这么诞生了。整个攻击链不超过三次HTTP请求，比打开一瓶啤酒还快。

这漏洞的本质不是代码缺陷，而是**设计哲学的冲突**。IIS 7.5为了兼容旧版URL格式，保留了分号作为路径参数的解析规则，却忘了WebDAV的`PROPFIND`方法会严格按字面处理文件名。两套逻辑撞在一起，中间就裂开了一条缝。微软后来发布的补丁也只是在`web.config`里加了`requestFiltering`规则，相当于给裂缝贴了张创可贴——真正干净的做法是彻底废弃分号解析，但为了向后兼容，他们选择了妥协。

有意思的是，这个漏洞在2010年就被公开了，但直到2013年，我还能在渗透测试中看到大量未修复的服务器。为什么？因为很多运维压根不知道自己的IIS开启了WebDAV。默认安装时它是关闭的，但某些管理工具或第三方组件会偷偷启用。你问他们“开了WebDAV吗？”，十有八九回答“没开”，结果`PUT`请求一试一个准。

修复方案不复杂，但需要动手验证。第一，禁用WebDAV模块——如果你不需要远程编辑文件，这是最省事的办法。第二，在`requestFiltering`里添加`;`作为禁止字符，直接从源头掐断解析歧义。第三，也是最容易忽略的：检查所有虚拟目录的`web.config`，因为子站点可能覆盖父级规则。我见过太多人只改了根目录，结果子目录照样被打穿。

现在回头看，iis75漏洞像一面镜子，照出的是基础设施维护中普遍的惰性。技术文档写得再清楚，也敌不过“应该没事吧”的侥幸心理。**安全补丁不是装了就完事，你得知道它到底堵住了什么**——否则下一个分号，可能就开在你家服务器上。