绿盟安全月刊->第22期->安全新闻 IIS存在重大安全漏洞 易被黑客利用

日期：2001-06-15

日经BP社

　　微软(日本)5月15日公布了“Internet Information Server 4.0/Services 5.0(以下简称IIS)”存在的安全漏洞。这是一个十分重大的漏洞，因为在IIS服务器上存在有任何OS命令都会被执行的危险。将OS命令以某种特定的字母组合排列好后向IIS发出申请，IIS就会把这一命令传递给系统文件夹(如“winnetsystem32”)中的“CMD.EXE(程序解释器)”，而CMD.EXE就会在服务器上执行这一命令。

  
　　该公司在发布安全漏洞信息的同时也公开了日语版补丁。此次公布的补丁特别包含了以前所有补丁内容(对IIS4.0而言是指Windows NT 4.0 Service Pack 5之后的版本)。因此，不仅是此次宣布的漏洞，即使是过去公开的所有IIS安全漏洞均可凭借此次发布的补丁修补。系统管理人员必须尽早使用这一补丁程序。

　　IIS服务器可能执行任何OS命令

　　此次的安全漏洞与过去屡次警告的“(MS00-086)‘Web服务器对文件请求的解析’的脆弱性对策”一样严重。攻击方法与攻击所造成的影响也几乎完全相同。

　　一般情况下，对IIS的请求中对公开文件夹之外(如系统文件夹)的访问的请求都会在检查时被拒绝。然而，此次的漏洞则是有的请求可以通过在字母的排列上做一些手脚从而在检查中蒙混过关。而IIS不是把它判断为对系统文件夹内的CMD.EXE的请求，而是判断为scripts文件夹内的服务器端执行程序(如CGIscript)的“合法”请求而予以继续处理。

　　此时，攻击者就会利用嵌入Windows NT/2000的帐号“IUSER_机器名”的权限访问能执行命令的文件。“IUSER_机器名”是访问IIS的用户为了浏览Web而必须的帐号。当然也并不是将能进行所有操作的Administrator(管理者)权限夺走。

　　尽管如此，通常使用“IUSER_机器名”权限也可以进行，1)删除或改变服务器上的文件、2)上传并执行任何文件、3)将硬盘格式化等操作。另外，如果攻击者恶意使用“IUSER_机器名”的权限进一步发难的话，Administrator权限就有被夺走的危险。

　　另外，微软(日本)还同时公布了另外两个类型的安全漏洞。均为与IIS的FTP服务有关的安全漏洞，分别是：1)输入特定的命令后，IIS就能使服务器停机；2)容易推测出FTP服务的Guest帐号。由于这些漏洞并不能够造成任何恶意命令都给予执行，所以影响不像前面提到的安全漏洞那么严重。如果使用此次发布的补丁的话就可以弥补这些漏洞。

　　弥补过去的所有漏洞--过于自信不可取

　　使用此次微软发布的补丁，不仅是此次公开的安全漏洞，就连以前发布的补丁(MS00-060、MS01-014、MS01-016)所能解决的问题也同样可以纠正。而且与普通的补丁不同的是，此次的补丁包含有，1)IIS4.0方面:Windows NT 4.0 Service Pack 5以后发布的IIS相关安全补丁、2)IIS5.0方面:过去公布的所有IIS安全补丁。

　　不过，过于自信是不可取的。因为即使使用了这一补丁，也不能够完全消除系统的脆弱性。正如微软在公开信息中所说的一样，还存在有系统管理人员不进行设定变更就无法弥补的安全漏洞(MS00-028、MS00-025、MS99-025、MS99-013)。尤其是必须注意MS99-025的“MDAC(微软数据访问组件，Microsoft Data Access Components)的脆弱性”。另外，还应该参考“Internet Information Server 4.0安全检查单”和“Internet Information Services 5安全检查单”等进行必要的设定。

　　此次的补丁仅以IIS为对象。应该意识到它并不能弥补“Front Page Server Extensions”和“Index Server”等安全漏洞(MS01-025，MS00-084，MS00-006)。

　　另外，IIS4.0的补丁适用于Windows NT 4.0 Service Pack 5和6a，IIS5.0的补丁适用于Windows 2000或Windows 2000 Service Pack 1。(IT Pro)