发布日期：2002-10-04
更新日期：2002-10-10

受影响系统：

Microsoft Windows XP Professional

不受影响系统：

Microsoft Windows XP Professional SP1

描述：

---

BUGTRAQ  ID: 5894

Microsoft Windows XP是微软公司开发的操作系统。

Microsoft Windows XP中的系统恢复(System Restore)文件没有很好的受NTFS ACL保护，本地攻击者可以利用这个漏洞获得系统敏感信息。

Microsoft Windows XP把系统恢复文件存储在"System Volume Information"目录中，这个目录自身受ACL保护，因此普通用户不能访问系统恢复文件，但是系统恢复目录下的子目录没有正确受NTFS ACL保护，所有本地用户都可以通过直接访问指定子目录而访问目录中的任何文件。造成敏感信息泄露。

<*来源：Makoto Shiotsuki （shio@st.rim.or.jp）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=103375177526052&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Makoto Shiotsuki （shio@st.rim.or.jp）提供了如下测试方法：

使用如下命令查找系统恢复目录路径：

c:\> reg query "HKLM\System\CurrentControlSet\Control\BackupRestore
\FilesNotToBackup" /v "System Restore"

然后使用CD命令直接访问目录：

c:\> cd \System Volume Information\_restore{8716531F-212F-45F1-8BAA-
FB69F0C7FAEF}

建议：

---

厂商补丁：

Microsoft
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Microsoft Windows XP Professional :

Microsoft Upgrade Windows XP Service Pack 1
http://www.microsoft.com/WindowsXP/pro/downloads/servicepacks/sp1/default.asp

浏览次数：3420
严重程度：10（网友投票）