微软在它的MS01-026安全公告中叙述道：
微软IIS 4.0/5.0在处理CGI程序文件名时存在一个安全漏洞，由于错误地对文件名进行了两次解码，攻击者可能利用这个漏洞执行任意系统命令。
如：TARGET存在一个虚拟可执行目录(scripts)，并且它与windows系统在同一驱动器上。那么提交类似下列请求：
http://TARGET/scripts/..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c:
就会列出C:\的根目录。
如果之前你对cmd.exe做出了权限设置(把EveryOne完全控制的权限去掉，设为只允许Adminitrator控制)，这样会好一些，至少攻击者就很难利用你的cmd.exe做事了，我推荐大家这么做。
这个漏洞是很危险的。微软在安全公告的后面为我们提供了如下安全补丁：
点此下载适用于IIS5的补丁
点此下载适用于IIS4的补丁
在安全公告的末尾，我突然看到了微软的感谢书，上面写道:
Microsoft thanks the following people for working with us to protect customers: NSfocus http://www.nsfocus.com) for reporting the vulnerability affecting IIS
原来这漏洞是我们中国的安全公司Nsfocus发现的，真是让人自豪！