IIS作为ASP文件执行"malicious.asp;.txt“。怎么回事？

Question

我调查了一种情况，即托管在IIS服务器上的300+网站被黑客攻击。经过调查，我找到了一个包含恶意ASP-经典代码的文本文件。该文件名为dz.asp;.txt，我刚刚意识到IIS愉快地执行了这个文件，没有抱怨。

所以我的问题是:这种行为正常吗？难道IIS不应该把这个文件当作.txt文件而不是.asp吗？

Answer 1

2009年，已知IIS存在一个漏洞，即如果名称中有分号，它会根据文件名前面的部分确定文件类型。

有关更多详细信息，请参阅这个NIST描述。