回顧 IIS 4.0 時代經典漏洞：ISM.dll 處理 .htr (密碼管理頁面) 時未驗證緩衝區長度，攻擊者送入超長 GET /[overflow].htr 即可觸發溢位，導致服務拒絕或遠端執行代碼 (SYSTEM)。微軟後續釋出修補程式，並建議移除 .htr ISAPI 對應。文末附贈 12 項 IIS/ASP 生產環境安全鎖定清單，歷久彌新。

漏洞技術細節

• 受影響元件： ISM.dll (ISAPI 擴充)，負責處理 .htr 檔案 (IIS 內建密碼變更功能)。
• 觸發方式： GET /[3KB+_overflow_string].htr HTTP/1.0，導致 INETINFO.EXE 進程崩潰或代碼執行。
• 預設安裝： IIS 4.0 預設啟用 .htr 對應，眾多管理員不知情未移除。

緊急因應措施 (修補程式釋出前)

1. IIS 管理員 → 電腦名稱右鍵「內容」 → 「主目錄」→「設定」→「應用程式對應」。
2. 選取 .htr 對應 → 「移除」→ 確定。
3. 重新啟動 IIS 服務 (`net stop iisadmin /y && net start w3svc`)。

正式修補

關注微軟安全公告 MS98-003 / MS99-010 / MS00-006 等累積更新，並升級至 IIS 5.0 (Win2K) 或 IIS 6.0 (Server 2003) 獲得架構級防護 (工作進程隔離、預設移除高風險 ISAPI)。

---

12 項 IIS/ASP 生產環境安全鎖定清單 (經典實務)

1. 版本與檔案系統： IIS 4.0 + NT 4.0 SP6a / IIS 5.0 + Win2K SP4；磁碟必須格式化為 NTFS，啟用 ACL 精細控制。
2. 虛擬目錄存取控制： /scripts、/iisadmin、/msadc、樣板網站 → 禁止匿名存取、限制來源 IP (內部管理網段)。
3. 架構隔離： 前端 Web 伺服器 (DMZ) + 後端資料庫/應用伺服器 (內網)；條件允許時一服務一機。
4. 關鍵目錄 NTFS 權限： Winnt、System32、Inetpub、CGI-BIN 僅授予 Administrators 完全控制；IUSR/Everyone 僅讀或無存取；嚴禁 Everyone/完全控制。
5. 最小服務與埠口： 僅開放 TCP 80/443；關閉 NetBIOS (139/445)、RPC (135) 等非必要埠。NT TCP/IP 進階安全性設定可實作埠口過濾。
6. 管理員帳號強化： 複雜密碼 (15+ 字元、四類字元)、重命名 Administrator、停用 Guest、審核登入事件 (成功/失敗)。
7. FTP/Telnet 非標準埠： 改為 10000-65000 高位埠，減少自動掃描噪音。
8. 徹底移除共享： 伺服器管理員 → 共用資源 → 停止共享 IPC$、Admin$、C$、Print$、Netlogon (非 PDC 時)。遠端管理改用 VPN + MMC/RDP。
9. ASP 程式目錄集中管理： 獨立磁碟分區、設定「執行權限：僅腳本」、移除「讀取」權限 (防止原始碼洩露)、啟用父路徑檢查。
10. 清理敏感檔案： %SystemRoot%\repair\sam._ (SAM 備份) 重命名或刪除；pagefile.sys 設定開機清零 (登錄 ClearPageFileAtShutdown=1)。
11. 已知漏洞自測： 定期以 MBSA、HFNetChk、Nessus 掃描自身主機，驗證修補狀態。
12. 機密傳輸加密： 啟用 IIS SSL (Server Certificate)，強制登入/管理/交易頁面走 HTTPS，防止明文攔截。

結語： 雖技術棧已演進 (IIS 6.0/7.0/10.0、ASP.NET Core、容器化)，但「最小權限、最小暴露、纏繞防禦、持續驗證」的核心哲學從未改變。此清單對現代 Web 伺服器強化仍具高度參考價值。