下面小编给大家整理IIS源码泄露及文件类型解析错误（共含2篇），希望大家喜欢！同时，但愿您也能像本文投稿人“啤乐崽崽”一样，积极向本站投稿分享好文章。
漏洞介绍：IIS是微软推出的一款webserver，使用较为广泛，在支持asp/asp.net的同时还可以较好的支持PHP等其他语言的运行，但是80sec发现在IIS的较高版本中存在一个比较严重的安全问题，在按照网络上提供的默认配置情况下可能导致服务器泄露服务器端脚本源码，也可能错误的将任何类型的文件以PHP的方式进行解析，使得恶意的攻击者可能攻陷支持PHP的IIS服务器，特别是虚拟主机用户可能受的影响较大。
漏洞分析：
IIS支持以CGI的方式运行PHP，但是此种模式下，IIS处理请求的时候可能导致一些同80sec提到的nginx安全漏洞一样的问题，任何用户可以远程将任何类型的文件以PHP的方式去解析，你可以通过查看Phpinfo中对php的支持方式，其中如果为CGI/FAST-CGI就可能存在这个问题，
黑盒访问
www.80sec.com/robots.txt/1.php
查看文件是否存在和返回的HTTP头就可以知道是否存在此漏洞。
同时，如果服务器支持了PHP，但应用中使用的是asp就可以通过如下方式来直接查看服务端asp源码
asp/1.php">www.80sec.com/some.asp/1.php
漏洞厂商：www.microsoft.com
解决方案：
我们已经尝试联系官方，但是此前你可以通过以下的方式来减少损失
关闭cgi.fix_pathinfo为0
“IIS 7.5 解析错误 命令执行漏洞” 解决方案
一、漏洞介绍
漏洞影响 IIS7 及IIS7.5 在使FastCGI方式调用php时，在php.ini里设置
cgi.fix_pathinfo=1
复制代码
使得访问任意文件URL时，在URL后面添加“/x.php”等字符时，该文件被iis当php文件代码解析，
如 127.0.0.1/1.gif 的内容如下：
复制代码
当访问 127.0.0.1/1.gif/1.php 可以看到1.gif里的php代码被iis解析执行了，
那么“ ”在具体攻击网站的时候，先可以通过网站提供的图片上传功能（也可以是其他的手段）上传一个包含了恶意PHP代码的图片文件。然后通过上面描叙方法，让iis解析执行任意恶意的php代码，控制网站及主机，最终导致网站被“脱库”、“挂马”、“植入非法seo链接”等等严重后果。
二、解决方案
第1种方案：继续使用FastCGI方式调用PHP，要解决这个安全问题可以在php.ini里设置 cgi.fix_pathinfo=0 ，修改保存后建议重启iis(注意可能影响到某些应用程序功能)。
第2种方案：使用ISAPI的方式调用PHP。（注意：PHP5.3.10已经摒弃了 ISAPI 方式）具体参考：hi.baidu.com/mr_itzhao/item/97b380bbb61db0f063388e70。
第3种方案：可以使用其他web服务器软件，如apache等。
