微軟IIS互聯(lián)網(wǎng)信息服務(wù)發(fā)現(xiàn)嚴(yán)重安全漏洞
一位研究人員發(fā)現(xiàn)最新版本的微軟互聯(lián)網(wǎng)信息服務(wù)中有一個(gè)安全漏洞，能夠讓攻擊者在運(yùn)行這個(gè)流程的Web服務(wù)的計(jì)算機(jī)上執(zhí)行惡意代碼。
據(jù)研究人員Soroush Dalili說(shuō)，這個(gè)安全漏洞存在于互聯(lián)網(wǎng)信息服務(wù)解析代冒號(hào)或者分號(hào)的文件名的方式中。許多Web應(yīng)用程序設(shè)置為拒絕包含可執(zhí)行文件的文件夾，如活躍的服務(wù)器網(wǎng)頁(yè)，這些可執(zhí)行文件的擴(kuò)展名通常是“.ASP”。通過(guò)把“；.jpg”或者其它有益的文件擴(kuò)展名附加到一個(gè)惡意文件，攻擊者就能夠繞過(guò)過(guò)濾器并且有可能欺騙服務(wù)器運(yùn)行這個(gè)惡意軟件。
對(duì)于這個(gè)安全漏洞似乎還存在一些分歧。 Dalili說(shuō)，這個(gè)安全漏洞影響到所有版本的互聯(lián)網(wǎng)信息服務(wù)。雖然他把這個(gè)安全漏洞列為“非常嚴(yán)重”等級(jí)的安全漏洞，但是，安全漏洞跟蹤公司 Secunia把它分類為“不太嚴(yán)重”的安全漏洞。這是這家公司安全漏洞五個(gè)等級(jí)之中的第二級(jí)。
Dalili說(shuō)，這個(gè)安全漏洞的影響是絕對(duì)高的，因?yàn)楣粽咄ㄟ^(guò)在“.asp”、“.cer”、“asa”等可執(zhí)行文件擴(kuò)展名后面使用一個(gè)分號(hào)就能夠繞過(guò)文件擴(kuò)展名保護(hù)措施。由于互聯(lián)網(wǎng)信息服務(wù)的這個(gè)弱點(diǎn)，許多Web應(yīng)用程序都容易受到文件上載的攻擊。
Dalili 介紹了這種攻擊的情形。他說(shuō)，假如一個(gè)網(wǎng)站僅接受JPG文件作為用戶的頭像，用戶可以向這個(gè)服務(wù)器上載自己的頭像?，F(xiàn)在，攻擊者可以向這個(gè)服務(wù)器上載 “Avatar.asp；.jpg”文件。Web應(yīng)用程序把這個(gè)文件看作是一個(gè)JPG文件。因此，這個(gè)文件就允許上載到這個(gè)服務(wù)器。但是，當(dāng)攻擊者打開(kāi)這個(gè)上載的文件的時(shí)候，互聯(lián)網(wǎng)信息服務(wù)就認(rèn)為這個(gè)文件是一個(gè)ASP文件并且設(shè)法使用“asp.dll”運(yùn)行這個(gè)文件。
Dalili說(shuō)，因此，攻擊者使用這種方法能夠向服務(wù)器上載一個(gè)Web外殼。大多數(shù)上載程序只能控制文件的最后部分作為其擴(kuò)展名。通過(guò)使用這種方法，他們的保護(hù)措施就被繞過(guò)了。
Secunia沒(méi)有解釋它的評(píng)估結(jié)論是如果做出的。但是，這家公司證實(shí)這個(gè)安全漏洞存在于運(yùn)行完全使用補(bǔ)丁的帶微軟互聯(lián)網(wǎng)安全服務(wù)第六版的Windows Server 2003 R2 SP2操作系統(tǒng)的機(jī)器中。
微軟發(fā)言人稱，微軟研究人員正在對(duì)這個(gè)報(bào)告展開(kāi)調(diào)查。微軟目前還不知道針對(duì)這個(gè)報(bào)告的安全漏洞實(shí)施的攻擊。
51CTO王文文：很早的時(shí)候Windows2003爆過(guò)一個(gè)“bug”，只要你上傳的webshell是在.asp結(jié)尾的目錄中，那無(wú)論你上傳的是不是.asp后綴的文件，它都會(huì)解析成asp。但奇怪的是，微軟很長(zhǎng)時(shí)間都沒(méi)修復(fù)這個(gè)“bug”。現(xiàn)在又出了這么一個(gè)類似的“bug”，卻被稱為嚴(yán)重漏洞了。不知道這次微軟會(huì)不會(huì)為其發(fā)補(bǔ)丁呢？期待2010年新年的第一個(gè)周二補(bǔ)丁日。
【編輯推薦】
