Microsoft IIS错误记录日志漏洞 CVE-2001-0902 CNNVD-200111-019
7.5
AV
AC
AU
C
I
A
发布：
2001-11-20
修订：
2018-10-30
Microsoft IIS是一款由微软开发和维护的WEB服务程序。 Microsoft IIS在记录使用十六进制编码的请求存在问题，远程攻击者可以利用这个漏洞使IIS记录错误信息。 在IIS的日志文件中十六进制代码会转义成一个字符，如\'\'/index\\%2easp\'\'记录成\'\'/index.asp\'\'。问题是\'\'\\%0A\'\'服务程序会转译成新行，而\\%FF会记录成空格，使用这两个十六进制可以使攻击者伪造日志，让IIS把一条请求记录成两条日志，造成记录信息错误。
漏洞利用/PoC
暂无可用Exp或PoC
受影响的平台与产品
当前有1条受影响产品信息
