首页 -> 安全研究
安全研究
绿盟月刊
绿盟安全月刊->第30期->最新漏洞
日期：2002-04-12
更新日期: 2002-4-12
受影响的系统:
Microsoft IIS 4.0
- Microsoft Windows NT 4.0
Microsoft IIS 5.0
- Microsoft Windows 2000
Microsoft IIS 5.1
- Microsoft Windows XP
描述:
--------------------------------------------------------------------------
BUGTRAQ ID: 4476
CVE(CAN) ID: CAN-2002-0149
Microsoft IIS（Internet Information Server）是MS Windows系统默认自带的Web服务器软件。
IIS 4.0/5.0/5.1在处理HTTP头部信息的代码中存在远程缓冲区溢出漏洞，远程攻击者可以利用此漏洞远程执行命令或造成拒绝服务。
IIS在收到一个HTTP请求时，会先对其进行分析，它根据分隔符来区分不同的区域，并将不同域的内容保存到适当大小的缓冲区中。为确保应有的分隔域存在且处于合理的位置，IIS会在解析HTTP报头的域之间进行一个安全检查。但是利用这一漏洞，攻击者有可能欺骗这一检查，使IIS误以为分隔域确实存在，IIS可能会将一个超过IIS预期长度的HTTP头部域数据保存到一个缓冲区中，从而造成缓冲区溢出。要利用这个漏洞，目标IIS服务器必须允许使用ASP ISAPI。
如果攻击者使用随机数据，可能使IIS服务崩溃（IIS 5.0/5.1会自动重启）。如果精心构造发送的数据，也可能允许攻击者执行任意代码。
成功地利用这个漏洞，对于IIS 4.0，远程攻击者可以获取SYSTEM权限；对于IIS 5.0/5.1攻击者可以获取IWAM_computername用户的权限。
<*来源：Serge Mister
链接：http://www.microsoft.com/technet/security/bulletin/MS02-018.asp
*>
--------------------------------------------------------------------------
建议:
临时解决方法：
如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：
* 如果您不需要使用ASP脚本，您应该立刻删除".asp"的脚本映射。
可以参考如下步骤删除上述脚本映射：
1. 打开Internet 服务管理器
2. 右击你的服务器（例如 "* nsfocus"），在菜单中选择"属性"栏
3. 选择"主属性"
4. 选择 WWW 服务 | 编辑 | 主目录 | 配置
5. 在扩展名列表中删除".asp"项。
6. 保存设置,然后重启IIS服务。
* 您可以使用微软提供的一个安全工具URLScan来限制攻击者利用这个漏洞远程执行命令。
URLScan缺省不允许URL中包含非ASCII字符，因此可以有效地增大攻击者攻击的难度。但这不能防止攻击者进行拒绝服务攻击。
您可以在下列地址下载该安全工具：
http://www.microsoft.com/technet/security/URLScan.asp
厂商补丁：
Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS02-018）以及相应补丁:
MS02-018：Cumulative Patch for Internet Information Services (Q319733)
链接：http://www.microsoft.com/technet/security/bulletin/MS02-018.asp
补丁下载：
* Microsoft IIS 4.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=37931
* Microsoft IIS 5.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=37824
* Microsoft IIS 5.1:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=37857
版权所有，未经许可，不得转载