IIS 攻擊手法五花八門，入侵才是真傷害

初級駭客用大量請求癱瘓 IIS（DoS），高手則利用漏洞入侵：竄改首頁、刪改主機檔案、甚至完全控制伺服器。以「擴展 Unicode 目錄遍歷漏洞」為例，駭客用 IIS Cracker 等工具即可遠程執行任意命令、瀏覽/竊取/修改/刪除主機檔案。

漏洞成因：IIS 4.0/5.0 解碼 Unicode 檔名時，特殊編碼會導致錯誤存取 Web 根目錄以外的檔案。

防範策略：掃描定位 + 精準打補丁

微軟捆綁版與獨立下載版 IIS 眾多，版本/漏洞對應關係複雜。最有效方法：用掃描工具對自身 IIS 掃描，找出存在漏洞再針對性修補。掃描非攻擊，僅尋找入口。

• Unicode 漏洞專用：RangeScan、快樂綠鷹 Unicode 掃描器。
• 全域掃描工具：可同時發現 Unicode 及其他未知漏洞，配合網路資訊進行升級調整。

結語

IIS 漏洞層出不窮，棄用轉投 Apache 者不在少數。若必須用 IIS，請建立「掃描→評估→修補→驗證」循環，並部署 WAF、最小權限、網路隔離等纈深防禦，將風險降至可接受水平。