大家可能对.HTR文件不是很熟悉，其实IIS具有让NT用户通过WEB目录/iisadmpwd/更改自己的口令的能力。而这个功能正是由一组.HTR文件和ISAPI的一个扩展DLL: ISM.DLL实现的。当一个完整的URL传递到ISM.DLL时，由于没有适当的大小限制的检查，就会导致溢出产生，从而使得服务器崩溃。HTR/ISM.DLL ISAPI 是IIS4缺省安装。
解决途径：
由于目前微软尚未发布可供使用的补丁程序，因此我们只能做一些应急的防范。
1、将.HTR扩展名从ISAPI DLL 的列表中删除
在你的NT桌面上，点击“开始”—>“程序”—>“Windows NT 4.0 Option Pack”—>“Microsoft Internet Information Server”—>“Internet 服务管理器”；双击“Internet Information Server”；鼠标右键单击计算机名称并选择“属性”；在“主属性”下拉式菜单中选择“WWW服务”并点击“编辑”按钮；选择“主目录”文件夹，并点击“配置”按钮，在“应用程序映射”列表框中选中.HTR的相关映射，选择“删除”，并确定。2、安装微软提供的补丁程序，请密切关注以下网址
http://www.microsoft.com/security
http://www.microsoft.com/security/products/iis/CheckList.asp
可能一些朋友会感到不解，为什么我在ASP篇17、18期连续利用两大篇幅着重讨论IIS、ASP的安全性问题，如果你是一个WEB开发者、ASP程序员，我想你就应该能够体会我的用意。我们进行网络编程、开发交互性的网站，当然首先是为了发展、建设自身网站，但是这一些都是建立在安全的基础上，这里的安全包括对自己辛辛苦苦开发的ASP或其他网络应用程序代码的保护、确保网站服务器安全正常的运行、确保用户信息的安全及认证等等，当今后电子商务成为真正广泛运作的一种商务运行手段后，安全性更是关键之关键。我们中的很多朋友在作为ASP程序员的同时又身兼网络管理员的职责，因此熟悉系统的运作、及时了解系统漏洞、第一时间解决安全性问题就显得十分重要和必要，因此在本文的结尾，作者将整理的一些关于NT、IIS系统配置的安全性建议罗列出来，希望能给大家一些帮助。1、使用最新版本的Microsoft Internet Information Server4.0，并安装NT最新版本的Service Pack5，服务器的文件系统不要使用