2017年爆发的洞修CVE-2017-7269，让无数Windows Server 2003用户夜不能寐。洞修攻击者只需向IIS 6.0的洞修WebDAV服务发送一个精心构造的PROPFIND请求，就能在服务器上执行任意代码。洞修那一年，洞修我亲眼看着某家企业的洞修官网被挂上挖矿脚本，CPU飙到100%，洞修而运维人员翻遍日志也找不到入侵痕迹——因为攻击载荷直接驻留在内存里。洞修

这个漏洞的洞修本质是缓冲区溢出。IIS的洞修WebDAV模块在处理超长请求头时，没有正确校验数据长度，洞修导致攻击者可以覆盖内存中的洞修函数指针。修复方案其实不难：要么禁用WebDAV，洞修要么安装补丁。洞修但问题在于，洞修很多老系统已经停止支持，补丁根本无处可寻。我当时给出的建议是，如果业务允许，直接卸载WebDAV模块；如果不允许，就在IIS前端加一层反向代理，过滤掉包含畸形PROPFIND头的请求。

比这更隐蔽的是IIS短文件名漏洞。攻击者利用8.3文件名生成规则，在URL中插入通配符，就能探测出服务器上的敏感文件。比如你明明把backup.sql放在深层目录，攻击者反复尝试“/b*~1*”之类的路径，就可能猜出文件存在。这个漏洞没法彻底修复，只能通过修改注册表禁用8.3文件名生成，或者调整IIS的URL过滤规则。我见过不少开发者在服务器上放着带版本号的压缩包，比如“site_2024_final.zip”，结果被扫描工具直接命中。

还有一种常被忽略的隐患——IIS的HTTP.sys驱动漏洞。2015年的MS15-034，攻击者发送一个带有特殊Range头的请求，就能导致蓝屏。那个漏洞影响所有Windows版本，因为问题出在内核驱动而非IIS本身。修复方法简单粗暴：打补丁。但有些服务器常年不重启，补丁装了也没生效，系统日志里全是“HTTP.sys报错”的记录。我通常建议这类用户，在维护窗口期强制重启，并且验证补丁是否真正加载。

说句实在话，IIS漏洞修复最难的从来不是技术，而是决策。很多企业还在跑着十年前的代码，业务链条复杂到不敢轻易动IIS配置。有个客户曾告诉我，他们宁可每天被扫描器攻击几千次，也不敢重启服务器——因为某个老旧的ERP系统依赖IIS的会话状态，重启就丢数据。这种场景下，我能做的只是帮他们在防火墙层面封禁可疑IP，同时用WAF规则拦截特征明显的攻击流量。

最后提醒一句：别总盯着CVE公告。真正的威胁往往来自你自己的配置。比如默认安装的IIS会启用多个不必要的ISAPI过滤器，每个过滤器都可能是攻击面。我的习惯是打开IIS管理器，逐个检查“处理程序映射”和“模块”列表，把用不到的项全部删除。这个过程很枯燥，但比任何补丁都管用。毕竟，漏洞是修不完的，但攻击面可以不断缩小。