Mục tiêu của việc người ta nối mạng là để nhiều người có thể dùng chung tài nguyên từ những vị trí địa lý khác nhau, chính vì thế mà các tài nguyên sẽ rất phân tán, dẫn đến một diều tất yếu là dễ bị xâm phạm gây mất mát dữ liệu, thông tin. Càng giao thiệp rộng thì càng dễ bị tấn công, đó là quy luật. Mọi nguy cơ trên mạng đều có thể nguy hiểm: Một lỗi nhỏ của các hệ thống sẽ được lợi dụng với tần suất cao, lỗi lớn thì thiệt hại lớn ngay lập. | Cách mã hóa như vậy được gọi là mã hóa unicode rất dài (unicode very long representation). Khi nhận một URL, một server tốt phải ngăn chặn các cách mã hóa dài này mà chỉ cho phép một cách mã hóa chuẩn. Tuy nhiên, IIS lại không làm như vậy, khi nhận một URL trước tiên nó kiểm tra sự tồn tại trực tiếp của các xâu con “/”, “\” và các mã hóa Unicode thông thường (ứng với một biểu diễn unicode ngắn nhất) của các xâu con ấy. Nếu tồn tại các xâu như vậy, IIS sẽ từ chối truy nhập đó – đây chính là cách mà IIS tự bảo vệ trước kiểu tấn công “dot dot directory traversal attack”. Ngược lại, IIS sẽ thực hiện yêu cầu trong URL đó và lúc này IIS mới giải mã các mã hóa dài của ký tự gạch chéo (slash “/” và backslash “\”) trong URL và tất nhiên, chúng trở thành các ký tự “/” và “\” mà IIS không kiểm tra được nữa. Do vậy, thay vì đưa xâu con “/”, “\” vào thanh địa chỉ, người ta thay nó bởi xâu unicode chứa một đoạn mã hóa rất dài của ký tự “/” “\” như “%c1%1c”, “c0%f9”, “e0%80%af%”, “%fc%80%80%80%80%af”, thì IIS sẽ bị đánh lừa và cho rằng đó là một URL hợp lệ, được quyền thực thi. Kết hợp với những thiết lập cài đặt ngầm định trên máy đích, đây chính là cách thức thi hành những lệnh của người ta mà server vẫn cho là hợp lệ.
