In questo post molto ben fatto Roberto Brunetti entra nei dettagli tecnici del problema e ne fornisce una possibile soluzione, indipendente dal SO, dal Framework e dal fatto che usiate URLScan oppure no.
Una sola precisazione rispetto al post: URLScan può essere installato anche su IIS 4, e non solo IIS 5.x (2000 e XP).
So che ASP.NET non gira su IIS4/NT4, so che IIS 4 dovrebbe essere comunque estirpato da Internet, ma se proprio non potete farne a meno, almeno proteggetelo un po'...
P.s. sarebbe bello poter lasciare dei commenti sui Blog di devleap, cosa che in pochissimi hanno abilitato... 
Forse con i commenti abilitati si rischia di ricevere dello spam, ma comunque si fornisce uno strumento in più alla community per discutere le nostre opinioni.