2001年4月开始，中美黑客又一次在网络上展开了没有硝烟的战斗，这次黑客攻击主要是依靠UNICODE漏洞，利用这个漏洞黑客可以远程调用服务器的cmd命令解释器，对服务器磁盘进行各种操作，配合上传的木马等程序，这个漏洞载当时给互联网带来的威胁是巨大的。
1、UNICODE原理：
此漏洞从中文IIS4.0+SP6开始出现，还影响中文WIN2000+IIS5.0、中文WIN2000+IIS5.0+SP1，台湾繁体中文也同样存在这样的漏洞。UNICODE是一种编码格式，它可以用两组代码编制一个字符，例如下面在中文Windows2000中的编码规则就是黑客需要利用到的：
%c1%1c -〉 (0xc1 - 0xc0) * 0x40 + 0x1c = 0x5c = '/'
%c0%2f -〉 (0xc0 - 0xc0) * 0x40 + 0x2f = 0x2f = '\'
黑客利用“%c1%1c”和“%c0%2f”两个不完整的编码，通过系统转换可以得到正、反斜杠，这样就可以访问远程服务器上的为开放的目录内容了。例如对于http://www.acc.com/来说，它的webroot目录如果是c:\webroot\，那么当黑客使用http://www.acc.com/scripts/..%c1%1c../winnt/system32/cmd.exe实际上被编码之后是：http://www.acc.com/scripts/../../winnt/system32/cmd.exe，也就是说黑客直接通过浏览器就调用了服务器上的cmd命令解释器，获得了远程执行命令的权限。
2、检测方法：
如果怀疑某个网站存在这个程序，可以通过下面的方法进行检测：
http://www.acc.com/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir
如果系统的确存在漏洞的话，那么浏览器返回的内容将会是对方系统的硬盘目录内容，注意因为UNICODE在不同的系统中有不同的编码，所以不能依靠一组代码确定服务器上不存在这个漏洞。这个时候扫描器就派上了大用场，使用xscanner可以专门对多个UNICODE进行检测，它的使用参数是“-iis”。
