解决IIS 6安全漏洞 联动天下新突破
www.8tops.com
2007-3-27 17:20:16 发布：广东IDC数据中心
媒体：联动天下 作者：佚名 一 、 Windows 2003 Enterprise Edition IIS6 目录检查漏洞的描述
1. Windows 2003 Enterprise Edition是微软目前主流的服务器操作系统。 Windows 2003 IIS6 存在着文件解析路径的漏洞，当文件夹名为类似hack.asp的时候（即文件夹名看起来像一个ASP文件的文件名），此时此文件夹下的任何类型的文件(比如.gif，.jpg，.txt等)都可以在IIS中被当做ASP程序来执行。这样黑客即可上传扩展名为jpg或gif之类的看起来像是图片文件的木马文件，通过访问这个文件即可运行木马。因为微软尚未发布这个漏洞的补丁，所以几乎所有网站都会存在这个漏洞。并且，经我司技术人员测试，这个问题不限于asp,甚至php, CGI等都存在这种问题。 目前国内大部分的网站都是运行在IIS6下，如果这些网站中有任何一个文件夹的名字是以 .asp .php .cer .asa .cgi .pl 等结尾，那么放在这些文件夹下面的任何类型的文件都有可能被认为是脚本文件而交给脚本解析器而执行，如果黑客将一个 hack.asp 文件改名为 hack.gif 上传到这些目录中，那么不堪设想.
2. 扩展名为jpg/gif的木马检查方法：
在资源管理器中使用详细资料方式，按类别查看。点“查看”菜单－－“选择详细信息”－－勾选上“尺寸”，确定。此时，正常的图片文件会显示出图片的尺寸大小，如果没有显示，则99%可以肯定是木马文件。用记事本程序打开即可100%确定.
3. 漏洞影响的范围：
安装了iis6的服务器(windows2003)，受影响的文件有.asp .asa .cdx .cer .pl .php .cgi漏洞特征
网站的管理权限被盗、导致网站被黑。因为微软尚未发布这个漏洞的补丁，所以几乎所有网站都会存在这个漏洞。
二、如何解决IIS6安全漏洞?
A 方案 ：打补丁
本来安装补丁是一种比较保险的方法，可是漏洞已发现一段时间了，微软一直没有发布相关的补丁。
B方案：网站程序员解决
对于那些允许注册帐号的网站来说，在网站程序编写的时候，程序员通常为了管理方便，便以注册的用户名为名称来建立一个文件夹，用以保存该用户的数据。例如一些图片、文字等等信息。黑客们就是利用了这一特点，特意通过网站注册一个以.asp、.asa、.cdx或者.cer的后续名作注册名，然后通过如把含有木马的asp文件的.asp后缀改成.jpg等方法，把文件上传到服务器，由于iis6漏洞，jpg文件可以通过iis6来运行，木马也随着运行，达到了攻击网站的目的，这种情况，可以由程序员对注册用户名称进行限制，排除一些带有*.asp *.asa等字符为名的注册名。加强网站自身的安全和防范措施。另外，要阻止用户对文件夹进行重命名操作。
这种方法在一定程度上可以防范一些攻击行为，但是这种方法实现起来非常麻烦，网站的开发人员在程序安全性方面必须掌握相当好的技术，并且必须要对整个网站涉及文件管理方面的程序进行检查，一个网站少则几十，多则上千个文件，要查完相当费时，并且难免会漏掉其中一两个。
另外，目前有很多现成的网站系统只要下载后上传到空间就可以用，开发这些现有网站系统的程序员技术水平参差不齐，难免其中一些系统会存在这种漏洞，还有相当一部分系统的源码是加密过的，很多站长想改也改不动，面对漏洞无乎无能为力。
C方案：服务器配置解决
网站管理员可以通过修改服务器的配置来实现对这个漏洞的预防。如何对服务器进行配置呢？很多网站都允许用户上传一定数量的图片、flash等，很多时候网站开发人员为了日后管理方便，对上传的文件都统一放到指定的一个文件夹里面，管理员只要对该文件夹的执行权限设置成“无”，这样一定程度可以对漏洞进行预防。
D方案： 服务商解决 服务器商对服务器进行统一的整体性过滤，通过编写组件来限制这种行为。但是能做到这种技术服务的主机供应服务商不多。
三、 联动天下如何解决漏洞问题
联动天下www.72e.net凭借其强大的技术开发能力，经过长时间的开发测试，终于开发出一套功能强大的安全过滤系统，能很好的解决IIS的目录检测漏洞。此安全系统主要有以下几个方面的功能：
1.安全检测功能
此安全过滤系统会对访问者请求的网址进行安全检测，当某个浏览者访问我司服务器上的网站时，安全系统先会检测此页面的网址是否是放在有目录安全隐患的文件夹中，如果是则自动中止页面的执行，有效的防止黑客利用这个漏洞入侵网站系统，大大提高网站的安全性。
2.程序错误侦测
此安全过滤系统独有的网页程序错误检测功能，用户可以通过虚拟主机控制面板查看程序的出错情况，大大方便了程序优化、程序排错的工作，避免用户去分析那些羞涩难懂、并且海量的网站日志文件。
