Causes

La cause essentielle de ce bug provient de l'utilisation de fichiers htw par Index Server et IIS. Et notamment le fichier null.htw, n'ayant pas d'existence réelle mais uniquement virtuelle, peut tracer et visualiser n'importe quel fichier sur votre serveur.

Effets

Si un utilisateur tape dans l'url de son navigateur le code suivant : http://www.monsite.com/null.htw?CiWebHitsFile=/default.asp&CiRestriction=none&CiHiliteType=Full , rien de particulier ne se passera sinon qu'il pourra visualiser le contenu HTML de la page, par contre  s'il rajoute %20 après default.asp il pourra peut être visualiser l'intégralité des sources :
url entrée :
http://www.monsite.com/null.htw?CiWebHitsFile=/default.asp%20&CiRestriction=none&CiHiliteType=Full

Résolution

1/ Si votre serveur réagit comme indiqué (en remplacant www.monsite.com par l'url de base de votre site) et affiche le code source de n'importe quel page : vous devez télécharger les patch fournis par Microsoft pour Index Server 2.0 et Index Server pour Windows 2000 à l'url suivante.
http://www.microsoft.com/technet/security/bulletin/ms00-006.asp

2/ Si vous n'utilisez pas les fonctionnalités Index Server, vous pouvez toujours supprimer l'extension htw des filtres ISAPI installés : ce qui a pour effet de règler ce bug définitivement :

Ouvrez la console d'IIS, allez sur les propriétés du site. Activez l'onglet <Répertoire de Base> puis cliquer sur le bouton <configuration>, dans l'onglet <Mappage de l'application> supprimez la référence faîte à .htw (...webhits.dll).
Puis Appliquer les modifications.

3/ Alternative à la suppression de l'extension htw :

Posté par M. Serge K. SEGBEFIA
J'ai trouvé, avec un ami, une solution annexe au problème concernant le bug sur Index Server et IIS. Voilà: au lieu de supprimer définitivement l'extension htw des filtres ISAPI, on a cocher l'option "Vérifier l'existence du fichier pour ce filtre" et pour l'instant ça a l'air de fonctionner puisque les sources du site ne sont plus accessibles "grâce" à cette petite imperfection.

Essayez et vous m'en direz des nouvelles!!! Evidemment, si ça ne marche pas chez vous, faites le moi savoir afin de pousser plus loin la recherche!!!

Vous avez une autre solution ou un commentaire à faire sur les solutions décrites : webmaster@asp-magazine.com