发布日期：2001-04-03
更新日期：2001-04-03

受影响系统：

Internet & Acceleration Server
       - Windows 2000 Server

描述：

---

缺省情况下，Win2K并未设置成当日志文件满时覆盖原日志文件。假设在ISA console
上启动了"Event Log Failure"选项。攻击者发送足以引发event logs的虚假报文，
导致ISA server为该次"Event Log Failure"启动一个CMD.EXE。如果攻击者不断发送
这类虚假报文，ISA server将不断启动CMD.EXE，消耗大量系统资源。即使重新启动
ISA server，也不能真正解决问题，必须清除"Event Log Failure"选项。

<* 来源：Peter Grundl (peter.grundl@defcom.com)
         Andreas Sandor (andreas.sandor@defcom.com) *>



测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

访问http://www.packetfactory.net/Projects/ISIC/获取测试程序

建议：

---

有两个临时解决办法，一个是设置成当日志文件满时覆盖原日志文件，一个是不要启
动"Event Log Failure"选项。参看MSRC Q284800：

http://support.microsoft.com/support/kb/articles/q284/8/00.ASP

浏览次数：3613
严重程度：0（网友投票）