什么解决几类不足为道的服务器安全主题素材,windows不胜枚举漏洞解析

Web服务器将成为下一代黑客施展妖术的对象。在很大程度上,进行这种攻击只需一个Web浏览器和一个创造性的头脑。以前,黑客的攻击对象集中在操作系统和网络协议上,但随着这些攻击目标的弱点和漏洞逐渐得到修补,要进行这类攻击已经变得非常困难。操作系统正在变得更加稳健,对攻击的抵抗能力日益提高。随着身份验证和加密功能渐渐被内置到网络协议中,网络协议也变得更加安全。此外,防火墙也越来越智能,成为网络和系统的外部保护屏障。

由于Windows
NT/2000操作系统的普及率和市场占有率比较高,所以很容易使它成为很多黑客攻击的目标。目前,Windows
NT/2000最主要的漏洞有Unicode漏洞、.ida/.idq缓冲区溢出漏洞、Microsoft IIS
CGI文件名错误解码漏洞、MSADCS
RDS弱点漏洞、FrontPage服务器扩展和.Printer漏洞等等。下面笔者将对这些漏洞的原理、危害程度、检测和解决办法分别进行介绍。

另一方面,电子商务技术正在日益普及开来,其复杂性有增无减。基于Web的应用程序正在与基本的操作系统和后端数据库更加紧密地集成在一起。遗憾的是,人们在基于Web的基础设施安全性方面所做的工作还很不够。Web服务器和Web应用程序中的弱点被发现的速度为何这么快呢?

一、Unicode漏洞

有很多因素促成了这种Web黑客活动的快速增加。其中最主要的原因是防火墙允许所有的Web通信都可以进出网络,而防火墙无法防止对Web服务器程序及其组件或Web应用程序的攻击。第二个原因是,Web服务器和基于Web的应用程序有时是在\”功能第一,安全其次\”的思想指导下开发出来的。

1.漏洞危害

当您的Web服务器面临巨大威胁时,怎样保障它们的安全呢?这就需要您不断了解新信息,新情况,每天跟踪您所用服务器的有关网站,阅读相关新闻并向它进行咨询。为了让你着手这方面的工作,下面介绍黑客对NT系统的四种常用攻击手段,同时介绍如何防止这类攻击。

在Unicode字符解码时,IIS
4.0/5.0存在一个安全漏洞,导致用户可以远程通过IIS执行任意命令。当用户用IIS打开文件时,如果该文件名包含Unicode字符,系统会对其进行解码。如果用户提供一些特殊的编码,将导致IIS错误地打开或者执行某些Web根目录以外的文件。未经授权的用户可能会利用IUSR_machinename账号的上下文空间访问任何已知的文件。该账号在默认情况下属于Everyone和Users组的成员,因此任何与Web根目录在同一逻辑驱动器上的能被这些用户组访问的文件都可能被删除、修改或执行。通过此漏洞,您可查看文件内容、建立文件夹、删除文件、拷贝文件且改名、显示目标主机当前的环境变量、把某个文件夹内的全部文件一次性拷贝到另外的文件夹去、把某个文件夹移动到指定的目录和显示某一路径下相同文件类型的文件内容等等。

Microsoft IIS ism.dll缓冲区溢出

2.漏洞成因

受影响的服务器:运行IIS 4.0并带有\”Service Pack 3/4/5\”的Windows
NT服务器Microsoft
IIS缓冲区溢出这一安全弱点是Web服务器无时不有的重大缺陷之一。该弱点被称为IIS
eEye,这个名称来自发现此问题的一个小组。在实施缓冲区溢出攻击时,黑客向目标程序或服务输入超出程序处理能力的数据,导致程序突然终止。另外,还可以通过设置,在执行中的程序终止运行前,用输入的内容来覆盖此程序的某些部分,这样就可以在服务器的安全权限环境下执行任意黑客命令。

Unicode漏洞的成因可大致归结为: 从中文Windows IIS
4.0+SP6开始,还影响中文Windows 2000+IIS 5.0、中文Windows
2000+IIS5.0+SP1。台湾繁体中文也同样存在这样的漏洞。它们利用扩展Unicode字符(如利用“../”取代“/”和“\”)进行目录遍历漏洞。据了解,在Windows
NT中编码为%c1%9c,在Windows 2000英文版中编码为%c0%af。

eEye发现,IIS用来解释HTR文件的解释程序是ism.dll,它对缓冲区溢出攻击的抵抗力十分脆弱。如果攻击者将一个以.htr结尾的超长文件名大约3,000个字符,或更多)传递给IIS,那么输入值将在ism.dll中造成输入缓冲区溢出,并导致IIS崩溃。如果攻击者输入的不是一串字母而是可执行代码通常称为\”鸡蛋\”或\”外壳代码\”),那么在IIS终止之前将执行该代码。由eEye小组发现的这一攻击方法包括三个步骤:

3.漏洞检测

1.创建一个用于侦听任意TCP端口上连接活动的程序。一旦接收到连接信号,该程序将执行一个Windows命令外壳程序(cmd.exe),并将该外壳与连接绑定在一起。这个程序是经过修改的Netcat。Netcat是一个流行的网络连接实用程序,其源代码可以免费获得。

首先,对网络内IP地址为*.*.*.*的Windows
NT/2000主机,您可以在IE地址栏输入http://
*.*.*.*/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir(其中%c1%1c为Windows
2000漏洞编码,在不同的操作系统中,您可使用不同的漏洞编码),如漏洞存在,您还可以将Dir换成Set和Mkdir等命令。

2.在IIS的ism.dll中制造缓冲区溢出,并使IIS从外部Web站点下载侦听程序由步骤1产生)。

其次,您要检测网络中某IP段的Unicode漏洞情况,可使用有如Red.exe、SuperScan、RangeScan扫描器、Unicode扫描程序Uni2.pl及流光Fluxay4.7和SSS等扫描软件来检测。

3.执行刚下载的程序由步骤2产生),该程序将等待传入的连接并使攻击者进入Windows命令外壳程序中。由于缓冲区溢出导致IIS在崩溃之前转而运行Windows命令外壳,所以该外壳程序将在IIS的安全权限背景下运行,而该安全权限背景等价于NT
Administrator权限。这样,攻击者要做的只是与被攻击的IIS服务器的侦听端口建立连接,然后等着出现c:>提示就万事大吉了。现在,攻击者拥有对整个NT服务器的管理权限,可以做任何事,比如,添加新用户、修改服务器的内容、格式化驱动器,甚至将该服务器用作攻击其它系统的踏脚石。运行IIS
4.0并带有\”Service Pack 3/4/5\”的Windows
NT服务器容易受到此类攻击。Microsoft已经发布了对该弱点的修补程序。Windows
NT Service Pack6也已经修补了该问题。

4.解决方法

Microsoft IIS MDAC RDS安全弱点

若网络内存在Unicode漏洞,可采取如下方法进行补救:

受影响的服务器:运行IIS 4.0并安装了MDAC 2.1或更早版本的Windows
NT服务器在发现IIS eEye安全弱点的大约一个月后,IIS
4.0的另一个弱点又暴露出来。使用Microsoft数据访问组件(MDAC)和远程数据服务(RDS),攻击者可以建立非法的ODBC连接,并获得对Web服务器上的内部文件的访问权。如果安装了Microsoft
Jet OLE DB提供程序或Datashape提供程序,攻击者可以使用Visual Basic for
Applications shell()函数发出能够在服务器上执行的命令。

(1)限制网络用户访问和调用CMD命令的权限;

在安装了MDAC 2.1或更高版本的IIS
4.0上,从位于其公共目录中的msadcmsa-dcs.dll,可以找到MDAC RDS弱点。Rain
Forest
Puppy在其站点中对该弱点进行了详细说明。该弱点利用了IIS上MDAC默认安装时的不适当配置和安全机制的缺乏这一漏洞。在等价于NT
Administrator的IIS
Web服务器进程的安全权限背景下,进行这种攻击的黑客可以在NT系统上远程执行任意命令。

(2)若没必要使用SCRIPTS和MSADC目录,删除或改名;

MDAC的弱点不是由于技术造成的,而是由于用户对它的配置方式所致。很多站点是通过NT
Option Pack 4.0安装IIS 4.0的。如果NT Option Pack
4.0是以典型或默认配置安装的,那么MDAC就容易遭到这种攻击。大多数使用默认安装的系统管理员都没有具体调整过这些设置,从而使Web服务器的安全性大大降低。Foundstone公司的George
Kurtz、Purdue大学的Nitesh
Dhanjani和我曾经共同设计了一个只有一行的命令字符串,该命令将利用MDAC
RDS弱点,使远程NT系统启动一个通过FTP或TFTP进行的文件传输过程。这个命令将告诉服务器到从某个外部系统下载并执行Netcat。Netcat将运行Windows命令外壳程序,并建立一个返回攻击者计算机的连接,这样,攻击者就获得了对远程NT系统的完全管理控制权。

(3)安装Windows
NT系统时不要使用默认WINNT路径,您可以改为其他的文件夹,如C:mywindowsnt;

Microsoft已经发布了相应的安全公告,并对使IIS
4.0免受该弱点攻击的保护措施进行了说明。

(4)用户可从如下地址下载Microsoft提供的补丁:
… q269862/default.asp为IIS
4.0的补丁地址, …
q269862/default.asp为IIS 5.0补丁地址。

Allaire ColdFusion 4.0弱点

二、.ida/.idq缓冲区溢出漏洞

受影响的服务器:运行在Windows NT上的Allaire ColdFusion Server 4.0

1.漏洞危害及成因

作为还算容易使用的、功能强大的脚本语言,ColdFusion已经广泛流行起来。但流行并不意味着安全。ColdFusion的问题不在于该服务器自身,而是在于它附带的脚本。

作为安装IIS过程的一部分,系统还会安装几个ISAPI扩展.dlls,其中idq.dll是Index
Server的一个组件,对管理员脚本和Internet数据查询提供支持。但是,idq.dll在一段处理URL输入的代码中存在一个未经检查的缓冲区,攻击者利用此漏洞能导致受影响服务器产生缓冲区溢出,从而执行自己提供的代码。更为严重的是,idq.dll是以System身份运行的,攻击者可以利用此漏洞取得系统管理员权限。

ColdFusion
4.0提供了示范应用程序和范例,它们可以在位于Web服务器根目录中的cfdocsexampleapp和cfdocsexpeval目录中找到。当用户执行典型安装时,将安装这些应用程序和脚本。ColdFusion所附带的部分范例经过修改后,将允许非法访问服务器上所包含的敏感数据。这些弱点表明,基本的应用程序服务器可以被编写得不好的应用程序脚本歪曲利用。

2.解决方法

存在这种弱点的一个范例应用程序是cfdocsexampleappdocssourcewindow.cfm。因为ColdFusion是作为具有Administrator权限的系统服务运行的,所以,该程序可以被用来任意访问和查看NT
Web服务器上的任何文件,包括boot.ini。用这种方法可以检索任何文件。Packet
Storm对该弱点做了完整解释。而更严重的弱点存在于cfdocsexpevalopenfile.cfm、cfdocsexpevaldisp
layopenedfile.cfm和cfdocsexpevalexprcalc.cfm中。这三个文件可以用来查看服务器上的任何文件,更为严重的是,它们还能将任意文件上载到服务器。对该弱点如何发作的讨论超出了本文的范围,欲了解详细信息请访问L0pht
Heavy
Industries的咨询信息。表达式求值程序exprcalc.cfm用于让开发人员计算被上载文件中的Cold-Fusion表达式的值。作为预防手段,该脚本在进行表达式计算时便会把被上载的文件删除掉,但要避免删除却是件容易的事。这样,攻击者可以上载恶意文件,并最终控制服务器。

用户可以分别到

这些就是ColdFusion的示范脚本中最严重的弱点。要防止出现问题,请从任何运行中的服务器中删除ColdFusion示范脚本。Allaire的Security
Zone提供了补丁程序,并提供了如何保护ColdFusion服务器的进一步信息。

注意:安装Index Server或Index
Services而没有安装IIS的系统无此漏洞;另外,即使Index Server/Indexing
Service没有开启,但是只要对.idq或.ida文件的脚本映射存在,攻击者也能利用此漏洞。受影响平台有Windows
NT 4.0、Windows 2000、Windows XP beta; 受影响的版本有Microsoft Index
Server 2.0、Indexing Service in Windows 2000。

Sambar 4.3 hello.bat

三、Microsoft IIS CGI 文件名错误解码漏洞

受影响的服务器:运行在Windows NT上的Sambar 4.3 beta
7和更早版本Sambar是提供给开发者的免费Web服务器。它提供了对CGI和WinCGI脚本、ODBC脚本以及ISAPI的支持。它甚至捆绑了Perl
5解释器。

1.漏洞危害及成因

Sambar 4.3 beta
7版和更早版本附带两个名为hello.bat和echo.bat的文件,它们是将Windows批处理文件用作CGI脚本的范例。这两个脚本本身没有问题,hello.bat显示字符串\”Hello
World\”,而echo.bat显示字符串\”Place
Holder\”。但当批处理文件被用作CGI脚本时,Web服务器将使用Windows命令外壳程序cmd.exe来运行它们。这样,攻击者可以利用该弱点针对目标服务器运行任意命令。例如,假如攻击者把URL

c:\”,并在浏览器上显示结果。由于Sambar是在NT
Administrator安全权限下运行的,因此事情会变得更为复杂。这样的权限等级可以让攻击者作为NT
Administrator运行任意命令。

IIS在加载可执行CGI程序时,会进行两次解码。第一次解码是对CGI文件名进行Http解码,然后判断此文件名是否为可执行文件,如检查后缀名是否为“.exe”或“.com”等。在文件名检查通过之后,IIS会进行第二次解码。正常情况下,应该只对该CGI的参数进行解码,然而,当漏洞被攻击后,IIS会错误地将已经解过码的CGI文件名和CGI参数一起进行解码。这样,CGI文件名就被错误地解码两次。通过精心构造CGI文件名,攻击者可以绕过IIS对文件名所做的安全检查。在某些条件下,攻击者可以执行任意系统命令。

Windows命令外壳使用\”&”在相同命令行上分隔多个命令。如果用户将“&”放在hello.bat的后面,并在其后添加一个命令,那么将在执行hello.bat后执行第二个命令。

2.漏洞检测

由于已经删除了文件hello.bat和echo.bat,Sambar 4.3 beta
8版和更高版本没有该弱点。但是,由于Windows命令外壳程序解析命令行的方式无法改变,所以并没有办法能真正修正该问题。如果您安装了4.3
beta 7版或更低版本,请一定要删除hello.bat和echo.bat。

该漏洞对IIS
4.0/5.0(SP6/SP6a没有安装)远程本地均适用,您可通过前文所述的SSS软件进行测试。

  1. 中国好莱坞采用戴尔刀片服务器打造“动画渲染集群系统”
  2. 银河国际手机版最新,戴尔5000台服务器虚拟化 节约2900万美元
  3. 服务器DIY之硬件采购篇

3.解决方法

如果您的主机有此漏洞,可在

四、MSADCS RDS弱点漏洞

1.漏洞危害

虽然MSADCS
RDS弱点漏洞对许多黑客来说已经有点儿过时,不过,对于网络上一些粗心大意的网管来说,还是有为数众多的机器并没有针对这个漏洞进行防堵。

该漏洞可以导致攻击者远程执行用户系统的命令,并以设备用户的身份运行。

2.漏洞成因

此漏洞是因Windows NT 4.0 Option Pack中的组件MDAC(即Microsoft Data
Access Components)引起的,它包含了一项RDS(Remote Data
Service)的功能。RDS是Microsoft提供给使用者远程访问数据库的服务,它能够让使用者透过ODBC远程存取/查询服务器数据库中的数据信息,而在IIS服务器中,还能够让使用者通过一个位于/msadc虚拟目录内名为msadcs.dll的文件提供RDS服务,以便与远程使用者沟通。

3.漏洞检测

用户可使用Shadow Security Scanner 5.35(本文简称SSS)、流光Fluxay
4.7、Nmap以及SuperScan或MSADC2.PL(Perl程序,执行需要ActivePerl环境,您可去雨林小狗网站下载,网址为

c:>nc -nw -w 2 <目标机> 80

GET /msadc/msadcs.dll HTTP

4.解决方法

其实,Microsoft对关于Msadc的问题发了3次以上的补丁,但仍然存在问题。

笔者认为最好的办法是:通过移除或删除系统内/msadc目录,同时移除c:Program
FilesCommon FilesSystemMsadcmsadcs.dll,或安装MDAC 2.1
SP2补丁(下载网址为

五、FrontPage 服务器扩展漏洞

1.漏洞危害

该漏洞对网站构成严重威胁,可以让入侵者轻易地获得整个网站的信息。

2.漏洞成因

对于安装Frontpage服务器的网站,通常会在Web目录(缺省)下有若干个以字母“_vti”开头的目录,正是这些目录隐藏了潜在的攻击性。当用户在任何常用的搜索引擎上搜索默认的Frontpage目录时,会得到大量从引擎上返回的信息,这时,给入侵者一可乘之机,使他们得以对服务器进行简单而又反复的攻击。

对攻击者来说,此漏洞可使他们获得被攻击方的Frontpage口令文件、通过Frontpage扩展名执行任意二进制文件,以及通过用_vti_cnf替换index.html,即入侵者能看到该目录下的所有文件,并有可能获得访问权限等。

3.解决方法

如对目录定义许可、移去某些目录、设置用户密码或不安装Frontpage扩展服务器等。

六、.Printer漏洞

1.漏洞危害及成因

此漏洞只存在于运行IIS 5.0的Windows 2000服务器中。由于IIS
5的打印ISAPI扩展接口建立了.printer扩展名到Msw3prt.dll的映射关系(缺省情况下该映射也存在),当远程用户提交对.printer的URL请求时,IIS
5.0会调用Msw3prt.dll解释该请求,加之Msw3prt.dll缺乏足够的缓冲区边界检查,远程用户可以提交一个精心构造的针对.printer的URL请求,其“Host:”域包含大约420B的数据,此时在Msw3prt.dll中发生典型的缓冲区溢出,潜在地允许执行任意代码。在溢出发生后,Web服务会停止用户响应,而Windows
2000将接着自动重启它,进而使得系统管理员很难检查到已发生的攻击。

2.漏洞检测

针对.Printer漏洞的检测软件很多,如easyscan(http://
www.netguard.com.cn)、x-scaner(http:// www.xfocus.org )和SSS等。

3.解决方法

可通过安装Microsoft漏洞补丁

 

NT/2000操作系统的普及率和市场占有率比较高,所以很容易使它成为很多黑客攻击的目标。目前,Windows
NT/2000最主要的漏洞有Uni…

发表评论

电子邮件地址不会被公开。 必填项已用*标注