Win2003存在着一个文件解析路径的漏洞，当文件夹名为类似hack.asp的时候（即文件夹名看起来像一个ASP文件的文件名），此时此文件夹下的文本类型的文件都可以在IIS中被当做ASP程序来执行。这样黑客即可上传扩展名为jpg或gif之类的看起来像是图片文件的木马文件，通过访问这个文件即可运行木马。因为微软尚未发布这个漏洞的补丁，所以几乎所有网站都会存在这个漏洞.
Windows 2003 IIS6处理文件夹扩展名的时候出错，导致放在该目录中的JPG图片会自动执行其中的ASP代码。当JPG后辍的文件含有ASP代码都会被执行。当然不只是JPG后辍才行。
Windows 2000 IIS5处理JPG图片中如包含有Html及ASP代码，只会执行Html代码，而不会执行JPG图片中的ASP代码。所以Windows 2000 IIS5中不存在这个漏洞。这个漏洞很明显是由.asp结尾的文件名称所导致，属于IIS6设计缺陷。
漏洞的利用方法如：
在aspxuexi.asp这样子的文件夹下，利用网站的上传权限，将各种asp木马(如 海洋木马)更名为以jpg/gif等为后缀的文件，上传到服务器，当打开这些文件时，木马程序会被IIS解析。
防范办法：
1、有用户可自主命名文件夹权限的功能，建议检查文件夹名称的合法性，或者关闭用户上传功能。
2、在用户控制的文件夹内设置脚本权限为"无"。
目前，微软尚未发布该漏洞的补丁。