Part3 典型漏洞案例.ppt

Case Study 几个问题 MS SQL sa空口令问题 输入法漏洞 IIS的几个重大漏洞 Unicode ISAP.Printer Index.ida：CodeRed、Nimda MIME的问题（IE、Outlook） 网络蠕虫（CodeRed、Nimda） Win2000 Server的CheckList 远程终端与输入法攻击 利用输入法漏洞攻击 攻击对象： Windows 2000中文系列； 未安装Service Packet 2（2001.6.8） 攻击原理： 利用输入法帮助文件的漏洞，绕过系统的身份认证机制，直接获得系统文件的控制权限。 利用输入法漏洞攻击 攻击条件： 物理上可以接触到主机； 开放了远程终端服务（3389） 运行IIS服务(非必须) 第一步： 使用扫描软件发现远程开放3389端口； SuperScaner； ISS 使用微软提供的“终端服务客户端”程序 只有“管理员”权限的用户才可以远程登陆 登陆时间只有一分钟 终端服务客户端 输入法攻击可以达到的目的 改变文件属性或位置； 直接对主页进行篡改 增加、激活用户，并改变用户权限； 几个利用到的命令 Net user myname passwd /add Net localgroup administrators myname /add Net user guest /active:yes 输入法攻击的防御 安装2000 SP2或 NT SP6a(MS00-069 ) 只保留一种输入法，在c:\winnt目录下删除下列文件 WINGB.IME 内码输入法 WINPY.IME 全拼输入法 WINSP.IME 双拼输入法 WINZM.IME 郑码输入法 删除输入法的帮助文件 WINIME.CHM 输入法操作指南 WINSP.CHM 双拼输入法帮助 WINZM.CHM 郑码输入法帮助 WINPY.CHM 全拼输入法帮助 WINGB.CHM 内码输入法帮助 没有必要的话，禁用远程登陆功能。 IIS的安全问题 ISAPI.Printer问题 IIS ISAPI Printer远程溢出漏洞 MS01-023漏洞公告 漏洞只存在运行IIS5.0的WIN2K服务器 Microsoft Windows 2000 Server Microsoft Windows2000Datacenter Server Microsoft Windows 2000 Advanced Server IIS 4.0不受影响 漏洞的活动范围 这是一个缓存溢出的高风险漏洞，危害如下： 在缺省安全的情况下，该漏洞可以被来自网络的入侵者利用。 入侵者可以完全获得和控制存在该漏洞的网站服务器。 ISAPI扩展 ISAPI (Internet Services Application Programming Interface)因特网服务应用编程界面是一种能够使网络开发商通过编写能为网络服务器提供新的服务的自定义命令码来扩展网络服务器功能的一种技术。 该自定义命令码既能在ISAPI过滤器中完成(当新的功能所提供一种较低水平的服务时)；也能在ISAPI扩展项中完成(当新的功能提供一种较高水平服务时)。现在，被溢出的代码就是这ISAPI扩展。 ISAPI扩展 IIS5.0可以执行用户扩展的功能（动态连接库） 管理员权限执行的动态连接库 idq.dll httpext.dll httpodbc.dll admin.dll shtml.dll msw3prt.dll …… 执行时不检查路径　 原理 微软Win 2K IIS 5的打印ISAPI扩展接口建立了.printer扩展名到msw3prt.dll的映射关系，缺省情况下该映射存在。 当远程用户提交对.printer的URL请求时，IIS5调用msw3prt.dll解释该请求。 由于msw3prt.dll缺乏足够的缓冲区边界检查，远程用户可以提交一个精心构造的针对.printer的URL请求，其“Host:”域包含大约420字节的数据，此时在msw3prt.dll中发生典型的缓冲区溢出，潜在允许执行任意代码。 原理 溢出发生后，WEB服务停止响应，Win 2K可以检查到WEB服务停止响应，从而自动重启它，因此系统管理员很难意识到发生过攻击。 这个漏洞非常危险，因为它仅仅需要WIN2000打开80端口(http)或者443端口(https)，微软公司强烈要求在未打补丁之前一定要移除ISAPI网络打印的映射。 攻击办法 1、小榕的IIS5Exploit（jill.c) 2、提供的iis5hack 3、提供的iisx 攻击办法 1、小榕的IIS5Exploit（jill.c)略 2、提供的ii