Che bello essere protetti senza saperlo!!!
URLScan fa il suo dovere anche nel caso del problema della Forms Authentication di ASP.NET.
Potete installarlo assieme a IISLockdown Tool (consigliato) o anche da solo e lui vi filtra le URL e i comandi HTTP che possono contenere caratteri o contenuti pericolosi.
Nel caso della vulnerabilità di ASP.NET, se provate a sfruttare il carattere \ o %5C per bucare un sito protetto da URLScan, questo rifiuta la richiesta, presentandovi una bella pagina d'errore e loggando l'accaduto:
[10-01-2004 - 16:25:26] Client at 127.0.0.1: URL contains sequence '\', which is disallowed. Request will be rejected. Site Instance='1', Raw URL='/Exploit/wannabesecure%5Csecurepage.aspx'
Quindi seguite il mio consiglio, quello di Raffaele dato ieri al Workshop, e quello di tantissime altre persone e PROTEGGETE IIS, eviterete guai in futuro...
P.s. ricordo a chi vuole monitorare URLScan (controllare il controllore 
) il mio tool URLScan Monitor che potete trovare qui: http://www.gotdotnet.com/Community/Workspaces/workspace.aspx?id=c859a9fd-3cfd-4d2d-bbe9-4bcc334ed2c3
E' un piacere lavorare con Andrea per indagare questi problemi che possono risultare devastanti se la gente non li conosce!!! 
Ho informato anche Raf, così magari può aggiungere due righe alle slide del workshop di ieri...
P.s.2. ringrazio Sahil Malik per la segnalazione originale...