在IIS6中启用父路径，不被黑客利用

以下是在IIS6中启用父路径，并防止黑客利用的完整攻略。

1. 确认需要启用父路径

首先需要确定你的应用程序确实需要使用 IIS 父路径，这通常指的是在应用程序中将路径相对于网站根目录而不是应用程序根目录指定。如果应用程序只使用相对应用程序路径，则不需要启用IIS父路径。

2. 打开IIS管理器

在Windows Server 2003上，打开“控制面板” -> “管理工具” -> “Internet信息服务(IIS)管理器”；在Windows XP上，打开“控制面板” -> “管理工具” -> “Internet 信息服务(IIS)”。

3. 关闭IIS沙箱

在IIS管理器中，选择你的网站或应用程序然后右键点击“属性”。在“属性”窗口中，选择“配置”标签页，然后找到“启用父路径”设置，勾选“应用程序使用父路径”选项。在同一个标签页面中，取消勾选“启用ISAPI扩展和ISAPI筛选器”和“启用缓存ISAPI扩展”。这将允许应用程序像您对待本地文件系统一样处理父路径。

4. 配置父路径

打开你的 Web 应用程序的 Web.config 文件并配置 IIS 父路径。此外，您需要添加<trust level="Full"/>来启用完全信任。以下是添加父路径的例子：

<configuration>
  <system.web>
    <trust level="Full"/>
  </system.web>
  <location path="." inheritInChildApplications="false">
    <system.webServer>
      <asp enableParentPaths="true"/>
    </system.webServer>
  </location>
</configuration>

5. 防止黑客利用

启用IIS父路径后，可能会容易受到黑客的攻击，因此需要进一步进行安全设置。以下是两个建议：

• 检查入口点：检查所有输入数据是否有效，并且限制输入和出现问题的位置。
• 检查输出点：检查所有输出数据是否有效，并过滤所有已验证和未验证的数据。

示例1：

例如，在 ASP.NET Web 应用程序中，您可以使用以下代码片段来检查 inputText 是否包含无效字符：

if(Regex.IsMatch(inputText, "[^a-zA-Z0-9]")) {
  // 包含非法字符
}

示例2：

您可以使用以下 ASP.NET 代码片段来过滤输出：

HttpUtility.HtmlEncode("用户输入的数据");

这将自动将特殊字符转义为 HTML 实体，以防范跨站点脚本攻击。

通过执行以上这些步骤，使您可以在 IIS 6 中启用父路径，并采取适当的安全措施来保护您的 Web 应用程序。