通过保持你的补丁处于最新的状态，你可以保证你的系统和网络不会受到这些安全漏洞的影响。微软基准安全分析器是微软提供的一个热补丁检查器，可以扫描本地或者远程系统中最新的补丁。你还可以考虑把你的IIS软件升级到IIS 6.0。这个版本同以前的版本相比显著提高了安全性能。我在Web安全学校(SearchSecurity.com/WebSecuritySchool)更详细地介绍了如何保护网站不受这些安全漏洞的影响。
·默认安装操作系统和应用程序
许多用户没有正确评价安装在他们的机器中的程序。Windows和IIS都安装了过剩的服务和危险样本。这种没有使用补丁的服务、样本程序和代码提供了攻击网站的手段。
·采用软弱的口令或者没有口令的账户
IIS使用一些内置的或者默认的账户。攻击者通常寻找这些账户。应该找出这些账户并且进行修改，如果不把这些账户从系统中删除的话。
·大量的开放端口
每一个访问者无论好坏都通过一个开放的端口访问网站或者系统。在默认状态下，Windows和IIS都比是继续需要配置了更多的开放端口。重要的是保持系统有最低数量的开放端口。关闭所有其它端口。
·Windows许可证登录服务溢出
通过向运行许可证登录服务的网站服务器发特殊格式的消息，攻击者能够利用没有检查的缓存。这将引起服务故障，为黑客创造一个以“系统”权限在这台服务器上执行代码的大门。
·微软服务器消息块(SMB)
Windows使用服务器消息块协议共享文件和打印机和进行计算机之间的沟通。黑客的服务器消息块服务器能够利用这个功能以“系统”权限在客户机上执行任意代码。
·ISAPI扩展缓存溢出
一些ISAPI(互联网服务器应用程序编程接口)扩展是与IIS一起自动安装的。ISAPI实际上是动态连接库，扩展IIS服务器的功能。像idq.dll等一些动态连接库包含编程错误，能够让攻击者向ISAPI扩展发送数据，引起拒绝服务攻击。这样，攻击者就能够完全控制这个网络服务器。
·Unicode安全漏洞(Web服务器文件夹遍历)
通过向IIS服务器发送一个精心制作的包含非法Unicode 队列的URL，攻击者能够绕过正常的IIS安全检查。强迫服务器离开一个目录并且执行任意的脚本。
1脚本小子：脚本小子通常都是一些自发的、不太熟练的cracker，他们使用从Internet 上下载的信息、软件或脚本对目标站点进行破坏。黑客组织或法律实施权威机构都对这些脚本小孩表示轻蔑，因为他们通常都技术不熟练，手上有大把时间可以来搞破坏，他们的目的一般是为了给他们的朋友留下印象。脚本小子就像是拿着抢的小孩，他们不需要懂得弹道理论，也不必能够制造枪支，就能成为强大的敌人。因此，无论何时都不能低估他们的实力。