Win2003存在着一個文件解析路徑的漏洞，當文件夾名爲類似hack.asp的時候（即文件夾名看起來像一個ASP文件的文件名），此時此文件夾下的文本類型的文件都可以在IIS中被當做ASP程序來執行。這樣***即可上傳擴展名爲jpg或gif之類的看起來像是圖片文件的***文件，通過訪問這個文件即可運行***。因爲微軟尚未發佈這個漏洞的補丁，所以幾乎所有網站都會存在這個漏洞.
Windows 2003 IIS6處理文件夾擴展名的時候出錯，導致放在該目錄中的JPG圖片會自動執行其中的ASP代碼。當JPG後輟的文件含有ASP代碼都會被執行。當然不只是JPG後輟才行。
Windows 2000 IIS5處理JPG圖片中如包含有Html及ASP代碼，只會執行Html代碼，而不會執行JPG圖片中的ASP代碼。所以Windows 2000 IIS5中不存在這個漏洞。這個漏洞很明顯是由.asp結尾的文件名稱所導致，屬於IIS6設計缺陷。
漏洞的利用方法如：
在aspxuexi.asp這樣子的文件夾下，利用網站的上傳權限，將各種asp***(如 海洋***)更名爲以jpg/gif等爲後綴的文件，上傳到服務器，當打開這些文件時，***程序會被IIS解析。
防範辦法：
1、有用戶可自主命名文件夾權限的功能，建議檢查文件夾名稱的合法性，或者關閉用戶上傳功能。
2、在用戶控制的文件夾內設置腳本權限爲"無"。
2、在用戶控制的文件夾內設置腳本權限爲"無"。
目前，微軟尚未發佈該漏洞的補丁。