CVE:CVE-2002-1744
CNNVD:CNNVD-200212-845
Microsoft IIS(Internet Information Server)是MS Windows系统默认自带的Web服务器软件。
IIS 5.0默认自带的示例脚本文件CodeBrws.asp对用户输入没有正确过滤，远程攻击者可能利用此漏洞读取Web主目录内任意以.asp、.inc、.htm和.html为后缀的文件。
问题在于CodeBrws.asp脚本中虽然对提交给它参数的路径信息中检查是否包含了".."串，但没有考虑到Unicode的可能，远程攻击者可能提交".."串的Unicode表示方式"%c0%ae%c0%ae"给脚本程序，从而访问到Web目录内任意以.asp、.inc、.htm和.html为后缀文件的源码。
solution:Upgrade microsoft internet_information_services to a higher version than 5.0,and avoid the version 5.0