知已知彼 Windows系统常见漏洞分析

2016-01-29 19:04 73 1 收藏

知已知彼 Windows系统常见漏洞分析,知已知彼 Windows系统常见漏洞分析

【 tulaoshi.com - windows 】

  由于Windows NT/2000操作系统的普及率和市场占有率比较高,所以很容易使它成为很多黑客攻击的目标。目前,Windows NT/2000最主要的漏洞有Unicode漏洞、.ida/.idq缓冲区溢出漏洞、Microsoft IIS CGI文件名错误解码漏洞、MSADCS RDS弱点漏洞、FrontPage服务器扩展和.Printer漏洞等等。下面笔者将对这些漏洞的原理、危害程度、检测和解决办法分别进行介绍。

  一、Unicode漏洞

  1.漏洞危害

  在Unicode字符解码时,IIS 4.0/5.0存在一个安全漏洞,导致用户可以远程通过IIS执行任意命令。当用户用IIS打开文件时,如果该文件名包含Unicode字符,系统会对其进行解码。如果用户提供一些特殊的编码,将导致IIS错误地打开或者执行某些Web根目录以外的文件。未经授权的用户可能会利用IUSR_machinename账号的上下文空间访问任何已知的文件。该账号在默认情况下属于Everyone和Users组的成员,因此任何与Web根目录在同一逻辑驱动器上的能被这些用户组访问的文件都可能被删除、修改或执行。通过此漏洞,您可查看文件内容、建立文件夹、删除文件、拷贝文件且改名、显示目标主机当前的环境变量、把某个文件夹内的全部文件一次性拷贝到另外的文件夹去、把某个文件夹移动到指定的目录和显示某一路径下相同文件类型的文件内容等等。

  2.漏洞成因

  Unicode漏洞的成因可大致榻嵛? 从中文Windows IIS 4.0+SP6开始,还影响中文Windows 2000+IIS 5.0、中文Windows 2000+IIS5.0+SP1。台湾繁体中文也同样存在这样的漏洞。它们利用扩展Unicode字符(如利用“../”取代“/”和“”)进行目录遍历漏洞。据了解,在Windows NT中编码为%c1%9c,在Windows 2000英文版中编码为%c0%af。

  3.漏洞检测

  首先,对网络内IP地址为*.*.*.*的Windows NT/2000主机,您可以在IE地址栏输入http:// *.*.*.*/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir(其中%c1%1c为Windows 2000漏洞编码,在不同的操作系统中,您可使用不同的漏洞编码),如漏洞存在,您还可以将Dir换成Set和Mkdir等命令。

  其次,您要检测网络中某IP段的Unicode漏洞情况,可使用有如Red.exe、SuperScan、RangeScan扫描器、Unicode扫描程序Uni2.pl及流光Fluxay4.7和SSS等扫描软件来检测。

  4.解决方法

  若网络内存在Unicode漏洞,可采取如下方法进行补救:

  (1)限制网络用户访问和调用CMD命令的权限;

  (2)若没必要使用SCRIPTS和MSADC目录,删除或改名;

  (3)安装Windows NT系统时不要使用默认WINNT路径,您可以改为其他的文件夹,如C:mywindowsnt;

  (4)用户可从如下地址下载Microsoft提供的补丁:http://www.microsoft.com/ntserve ... q269862/default.asp为IIS 4.0的补丁地址,http://www.microsoft.com/windows ... q269862/default.asp为IIS 5.0补丁地址。

  二、.ida/.idq缓冲区溢出漏洞

  1.漏洞危害及成因

  作为安装IIS过程的一部分,系统还会安装几个ISAPI扩展.dlls,其中idq.dll是Index Server的一个组件,对管理员脚本和Internet数据查询提供支持。但是,idq.dll在一段处理URL输入的代码中存在一个未经检查的缓冲区,攻击者利用此漏洞能导致受影响服务器产生缓冲区溢出,从而执行自己提供的代码。更为严重的是,idq.dll是以System身份运行的,攻击者可以利用此漏洞取得系统管理员权限。

  2.解决方法

  用户可以分别到http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30833和http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30800处下载补丁,或删除对.idq和.ida的脚本映射。如果其他系统组件被增删,有可能导致该映射被重新自动安装。

  注意:安装Index Server或Index Services而没有安装IIS的系统无此漏洞;另外,即使Index Server/Indexing Service没有开启,但是只要对.idq或.ida文件的脚本映射存在,攻击者也能利用此漏洞。受影响平台有Windows NT 4.0、Windows 2000、Windows XP beta; 受影响的版本有Microsoft Index Server 2.0、Indexing Service in Windows 2000。

(本文来源于图老师网站,更多请访问https://www.tulaoshi.com/windows/)
  三、Microsoft IIS CGI 文件名错误解码漏洞

  1.漏洞危害及成因

  IIS在加载可执行CGI程序时,会进行两次解码。第一次解码是对CGI文件名进行Http解码,然后判断此文件名是否为可执行文件,如检查后缀名是否为“.exe”或“.com”等。在文件名检查通过之后,IIS会进行第二次解码。正常情况下,应该只对该CGI的参数进行解码,然而,当漏洞被攻击后,IIS会错误地将已经解过码的CGI文件名和CGI参数一起进行解码。这样,CGI文件名就被错误地解码两次。通过精心构造CGI文件名,攻击者可以绕过IIS对文件名所做的安全检查。在

来源:https://www.tulaoshi.com/n/20160129/1508354.html

延伸阅读
标签: windows 操作系统
现在,光驱在我们使用电脑中扮演了非常重要的角色,看电影,听音乐,玩游戏。光驱早已经成为电脑的必备设备,作为机器就免不了的有这样或者那样的故障了,有时会遇到机子装好后光驱的盘符却没有了,装系统,换数据线,查CMOS设置,最后费尽了办法才终于把它找回来。  在Windows下快速运行光驱能够为我们的工作带来不少便利。本文将告...
标签: 电脑入门
微软极为重视的操作系统产品Windows 8,日前被爆出将可能引起硬件层面破坏漏洞。 Windows 8中的安全机制能够阻止对于操作系统的攻击,驱使黑客开发能够直接感染硬件的恶意软件。McAfee公司在针对2012年的安全预测中提到了这一点。Windows 8启动加载器安全机制的先进已经使研究者展示如何通过传统的BIOS来入侵系统。 与此同时,英特尔正在开发...
标签: windows 操作系统
受影响系统: Microsoft Windows XP SP2 Microsoft Windows XP SP1 Microsoft Windows XP Microsoft Windows Server 2003 SP1 Microsoft Windows Server 2003 Microsoft Windows 2000SP4 Microsoft Windows 2000SP3 Microsoft Windows 2000SP2 Microsoft Windows 2000SP1 Microsoft ...
标签: 电脑入门
在电脑使用过程中,我们经常会遇到死机的情况,而死机伴随者电脑操作系统,从一开始的Windows图形化操作系统开始,就一直有这样的情况,一直到Windows 7乃至泄漏版本的Windows 8一直存在。 为什么一直解决不了?那要从Windows的工作方式说起。为什么要强调Windows操作系统呢,因为除了Windows操作系统,还有另外的几大操作系统,最有名的有UNI...
标签: 电脑入门
在电脑使用过程中,我们经常会遇到死机的情况,而死机伴随者电脑操作系统,从一开始的Windows图形化操作系统开始,就一直有这样的情况,一直到Windows 7乃至泄漏版本的Windows 8一直存在。 为什么一直解决不了?那要从Windows的工作方式说起。为什么要强调Windows操作系统呢,因为除了Windows操作系统,还有另外的几大操作系统,最有名的有UNI...

经验教程

304

收藏

8
微博分享 QQ分享 QQ空间 手机页面 收藏网站 回到头部