IIS 7.5漏洞，如何确保网站安全不受威胁？

IIS7.5漏洞主要是由于相关的配置问题引起的，具体涉及到CGI和PHP的配置设置，下面将详细分析IIS7.5中的漏洞和修复建议：

1、漏洞描述

CGI配置问题：在IIS 7.5中，如果php.ini文件中的cgi.fix_pathinfo选项被启用（设置为1），服务器可能会被恶意利用，通过非标准方式访问PHP脚本。

2、漏洞等级

安全风险评估：由于该漏洞可被远程利用，且潜在影响较大，通常被视为高风险安全问题。

3、影响版本

涉及的系统版本：除了IIS 7.5外，IIS 6.0也存在类似的问题。

4、环境复现

基础环境配置：安装Win10专业版操作系统和PHPstudy 2016版本，并启动PHPStudy切换到IIS模式进行测试。

漏洞扫描与验证：通过创建特定类型的文件（如.png）并尝试通过添加/.php后缀来解析，可以测试漏洞的存在。

5、修复建议

禁用cgi.fix_pathinfo：推荐在php.ini文件中设置cgi.fix_pathinfo为0并重启php-cgi程序，以关闭此功能并提高安全性。

6、其他相关漏洞

HTTP.SYS远程代码执行：MS15-034是一个存在于HTTP.sys中的漏洞，未正确分析特殊设计的HTTP请求时，可能导致任意代码执行或系统崩溃。

7、防范措施

安全配置：确保所有服务和应用配置均按照安全最佳实践进行设置，特别是涉及脚本执行和用户输入处理的部分。

定期更新与补丁应用：保持操作系统和所有服务器软件的更新，及时应用安全补丁。

可以看到IIS 7.5中的配置问题尤其在启用了某些PHP配置的情况下可能导致严重的安全漏洞，管理员应确保了解其环境中所有相关配置的当前状态，并采取适当的预防措施来避免潜在的安全威胁，通过禁用特定的危险配置选项，并进行持续的安全监控和更新，可以显著提高系统的安全性。