IIS7漏洞，我们如何保护网站免受攻击？

IIS7漏洞主要包括以下几种：

1、HTTP.SYS远程代码执行漏洞 (MS15-034)：

该漏洞存在于HTTP协议堆栈（HTTP.SYS）中，当HTTP.SYS未正确分析经特殊设计的HTTP请求时会导致此漏洞，成功利用此漏洞的攻击者可以在系统账户的上下文中执行任意代码，可能导致IIS服务器所在机器蓝屏或读取内存中的机密数据。

影响版本：IIS7.5、IIS8.0、IIS8.5。

影响范围：Windows 7、Windows 8、Windows 8.1、Windows Server 2008 R2、Windows Server 2012、Windows Server 2012 R2。

修复建议：安装修复补丁（KB3042553）。

2、文件解析漏洞：

在IIS7.x版本，Fast-CGI运行模式下，存在任意文件解析漏洞，只需在访问文件的后面添加“/.php”就会被当成PHP文件解析。

复现方法：创建一个PNG图片文件，然后在URL路径后添加“/.php”，访问该文件会将其解析为PHP文件。

修复建议：配置cgi.fix_pathinfo（php.ini中）为0并重启php-cgi程序。

3、认证绕过漏洞：

Microsoft IIS中存在认证绕过漏洞和源码泄露漏洞，这些漏洞源于对用户提供的输入未经正确的验证，攻击者可利用这些漏洞在服务器进程上下文中获取密码保护资源和查看源代码文件的未授权访问。

影响版本：IIS 6.0、IIS 7.5。

修复建议：更新最新补丁包，同时切断方式可以从受认证的目录和.NET Framework版本两方面入手。

4、其他中间件漏洞：

IIS7与PHP联动时，如果配置不当，也可能存在漏洞，在phpstudy环境中，如果未正确配置请求限制，可能导致文件解析漏洞。

IIS7存在的漏洞主要包括HTTP.SYS远程代码执行漏洞、文件解析漏洞和认证绕过漏洞等，针对这些漏洞，用户应及时安装相关补丁，合理配置服务器环境，以降低安全风险。