windows常见漏洞分析（二）

　注意：安装Index Server或Index Services而没有安装IIS的系统无此漏洞；另外，即使Index Server/Indexing Service没有开启，但是只要对.idq或.ida文件的脚本映射存在，攻击者也能利用此漏洞。受影响平台有Windows NT 4.0、Windows 2000、Windows XP beta; 受影响的版本有Microsoft Index Server 2.0、Indexing Service in Windows 2000。

三、Microsoft IIS CGI 文件名错误解码漏洞
　　1．漏洞危害及成因
　　IIS在加载可执行CGI程序时，会进行两次解码。第一次解码是对CGI文件名进行Http解码，然后判断此文件名是否为可执行文件，如检查后缀名是否为“.exe”或“.com”等。在文件名检查通过之后，IIS会进行第二次解码。正常情况下，应该只对该CGI的参数进行解码，然而，当漏洞被攻击后，IIS会错误地将已经解过码的CGI文件名和CGI参数一起进行解码。这样，CGI文件名就被错误地解码两次。通过精心构造CGI文件名，攻击者可以绕过IIS对文件名所做的安全检查。在某些条件下，攻击者可以执行任意系统命令。

　　2．漏洞检测
　　该漏洞对IIS 4.0/5.0（SP6/SP6a没有安装）远程本地均适用，您可通过前文所述的SSS软件进行测试。

　　3．解决方法
　　如果您的主机有此漏洞，可在http://www.microsoft.com/Downloads/Release.asp?ReleaseID=29787处下载补丁。

四、MSADCS RDS弱点漏洞
　　1．漏洞危害
　　虽然MSADCS RDS弱点漏洞对许多黑客来说已经有点儿过时，不过，对于网络上一些粗心大意的网管来说，还是有为数众多的机器并没有针对这个漏洞进行防堵。该漏洞可以导致攻击者远程执行用户系统的命令，并以设备用户的身份运行。

　　2．漏洞成因
　　此漏洞是因Windows NT 4.0 Option Pack中的组件MDAC（即Microsoft Data Access Components）引起的，它包含了一项RDS（Remote Data Service）的功能。RDS是Microsoft提供给使用者远程访问数据库的服务，它能够让使用者透过ODBC远程存取/查询服务器数据库中的数据信息，而在IIS服务器中，还能够让使用者通过一个位于/msadc虚拟目录内名为msadcs.dll的文件提供RDS服务，以便与远程使用者沟通。

　　3．漏洞检测
　　用户可使用Shadow Security Scanner 5.35（本文简称SSS）、流光Fluxay 4.7、Nmap以及SuperScan或MSADC2.PL（Perl程序，执行需要ActivePerl环境，您可去雨林小狗网站下载，网址为http://www.wiretrip.net/rfp）来进行测试，也可以通过以下办法测试本机是否存在这个漏洞。c:/>nc -nw -w 2??80? ?? ?GET /msadc/msadcs.dll HTTP

　　4．解决方法
其实，Microsoft对关于Msadc的问题发了3次以上的补丁，但仍然存在问题。笔者认为最好的办法是：通过移除或删除系统内/msadc目录，同时移除c:/Program Files/Common Files/System/Msadc/msadcs.dll，或安装MDAC 2.1 SP2补丁