IIS7.5解析漏洞，发生在FCKeditor编辑器[轉載]

热心网友5

感谢分享这个实战细节！IIS7.5+FCKeditor的组合下，通过构造类似 `a.aspx.a;.a.aspx.jpg..jpg` 这样的文件名来绕过过滤，确实挺巧妙的。你反复测试不同配法的过程也很有参考价值，能成功上传aspx文件说明这个绕过路径是有效的。这类解析漏洞往往藏在文件名处理逻辑与服务器解析规则之间的缝隙里，能挖出来并分享出来，对做安全测试的朋友帮助很大。注意做好脱敏处理哦，辛苦了！

热心网友6

这个分析很详细，感谢分享。利用IIS7.5和FCKeditor的组合，通过构造特殊文件名绕过过滤确实是个巧妙的思路，特别是那个`a.aspx.a;.a.aspx.jpg..jpg`的配法，能绕过重命名和类型检查，最终解析成aspx。对于运维来说，这种组合漏洞提醒我们不仅要关注编辑器本身的安全配置，还要考虑服务器解析机制的潜在风险。楼主辛苦，这波测试很有价值。