IIS远程代码执行漏洞：老牌服务器软件的程代阿喀琉斯之踵

2021年5月，微软紧急发布了一个针对IIS 6.0和7.0的码执补丁——CVE-2021-31166。这个漏洞的行漏可怕之处在于，攻击者只需要向目标服务器的程代443端口发送一个精心构造的HTTP请求，不需要任何认证，码执就能在目标机器上执行任意代码。行漏当时安全圈炸了锅，程代因为这意味着只要你的码执Windows Server还开着IIS服务，且没打补丁，行漏就等于把系统管理权限拱手送人。程代

这个漏洞出在HTTP协议栈的码执解析逻辑上。IIS在处理某些畸形请求头时，行漏会错误地计算缓冲区大小，程代导致堆溢出。码执攻击者可以利用这个溢出覆盖内存中的行漏函数指针，进而劫持程序执行流程。说白了，就是IIS自己把门锁弄坏了，黑客只需要轻轻一推就能进来。

我见过太多运维人员对IIS掉以轻心。他们觉得IIS是微软自家产品，安全性应该比Apache、Nginx这些开源软件靠谱。这种想法大错特错。2017年曝出的CVE-2017-7269，一个WebDAV缓冲区溢出漏洞，直接影响了全球数百万台IIS 6.0服务器。那时候很多政府网站和企业内网都中招了，被植入挖矿程序或者变成肉鸡。

更讽刺的是，IIS 6.0是Windows Server 2003的标配，而Server 2003早在2015年就停止支持了。可直到今天，我依然能在某些银行、医院的内部系统里看到它的身影。这些系统不是不能升级，而是业务部门怕麻烦，运维部门怕担责任，就这么一直拖着。结果就是，这些服务器成了网络世界里不设防的堡垒。

修复这类漏洞的办法其实不复杂——打补丁、升级版本、关闭不必要的功能。但现实中总会遇到各种阻力。比如有些老旧系统依赖IIS 6.0的特定行为，升级后可能跑不起来；还有些系统是第三方厂商开发的，厂商都倒闭了，代码也没人维护。这时候就得靠网络层防护来兜底，比如用WAF拦截可疑请求，或者干脆把这些服务器放到隔离网段里。

说到底，IIS远程代码执行漏洞暴露的不是技术短板，而是运维管理的惰性。微软每个月第二个星期二都会发布安全更新，但有多少企业真的会在第一时间部署？我认识一位安全工程师，他所在的公司要求所有服务器必须在补丁发布后72小时内完成更新。有一次IIS漏洞爆发，他们连夜加班，赶在攻击工具公开前把所有服务器都加固了一遍。这种执行力，在大多数企业里都是奢望。

漏洞永远会有，但被攻破的往往不是漏洞本身，而是那些懒得修补漏洞的人。如果你还在用IIS，现在就打开Windows Update看看有没有待安装的补丁吧。没有绝对安全的软件，只有相对负责的管理员。