由 dawei 默认启用的IIS详细错误页面会暴露服务器版本、ASP.NET版本、物理路径甚至部分代码堆栈。攻击者借此精准选择漏洞利用方式，比如针对IIS 8.5的特定解析缺陷发起请求，或绕过自定义错误页直接触发调试信息泄露。关闭“详细错误”并启用“自定义错误页”，同时在web.config中设置，避免后端异常被原样返回。
AI设计，仅供参考
PHP或ASP.NET应用常依赖第三方扩展组件（如php_curl、MySQL驱动、log4net），但运维人员易忽略其更新状态。一个未打补丁的旧版php-ldap扩展可能引入远程代码执行漏洞；而过时的log4j 1.x在Java混合环境中若被日志注入触发，可导致Windows Server上反弹shell。所有组件须建立版本清单，禁用非必需模块，并通过Windows更新+厂商补丁通道同步维护。
网站根目录权限配置宽松是高频隐患：IIS_IUSRS组被赋予“完全控制”、应用程序池标识拥有D盘写入权、甚至管理员账户直接运行网站服务。一旦WebShell上传成功，攻击者即可提权操作注册表、读取SAM文件或横向移动至域控。应遵循最小权限原则——IIS_IUSRS仅需“修改”权限于站点目录，应用程序池使用专用低权限服务账户，并禁用Guest与匿名用户对系统目录的遍历访问。