微软IIS互联网信息服务发现严重安全漏洞

一位研究人员发现最新版本的微软互联网信息服务中有一个安全漏洞，能够让攻击者在运行这个流程的Web服务的计算机上执行恶意代码。

据研究人员Soroush Dalili说，这个安全漏洞存在于互联网信息服务解析代冒号或者分号的文件名的方式中。许多Web应用程序设置为拒绝包含可执行文件的文件夹，如活跃的服务器网页，这些可执行文件的扩展名通常是“.ASP”。通过把“；.jpg”或者其它有益的文件扩展名附加到一个恶意文件，攻击者就能够绕过过滤器并且有可能欺骗服务器运行这个恶意软件。

对于这个安全漏洞似乎还存在一些分歧。 Dalili说，这个安全漏洞影响到所有版本的互联网信息服务。虽然他把这个安全漏洞列为“非常严重”等级的安全漏洞，但是，安全漏洞跟踪公司 Secunia把它分类为“不太严重”的安全漏洞。这是这家公司安全漏洞五个等级之中的第二级。

Dalili说，这个安全漏洞的影响是绝对高的，因为攻击者通过在“.asp”、“.cer”、“asa”等可执行文件扩展名后面使用一个分号就能够绕过文件扩展名保护措施。由于互联网信息服务的这个弱点，许多Web应用程序都容易受到文件上载的攻击。

Dalili 介绍了这种攻击的情形。他说，假如一个网站仅接受JPG文件作为用户的头像，用户可以向这个服务器上载自己的头像。现在，攻击者可以向这个服务器上载 “Avatar.asp；.jpg”文件。Web应用程序把这个文件看作是一个JPG文件。因此，这个文件就允许上载到这个服务器。但是，当攻击者打开这个上载的文件的时候，互联网信息服务就认为这个文件是一个ASP文件并且设法使用“asp.dll”运行这个文件。

Dalili说，因此，攻击者使用这种方法能够向服务器上载一个Web外壳。大多数上载程序只能控制文件的最后部分作为其扩展名。通过使用这种方法，他们的保护措施就被绕过了。

Secunia没有解释它的评估结论是如果做出的。但是，这家公司证实这个安全漏洞存在于运行完全使用补丁的带微软互联网安全服务第六版的Windows Server 2003 R2 SP2操作系统的机器中。

微软发言人称，微软研究人员正在对这个报告展开调查。微软目前还不知道针对这个报告的安全漏洞实施的攻击。

王文文：很早的时候Windows2003爆过一个“bug”，只要你上传的webshell是在.asp结尾的目录中，那无论你上传的是不是.asp后缀的文件，它都会解析成asp。但奇怪的是，微软很长时间都没修复这个“bug”。现在又出了这么一个类似的“bug”，却被称为严重漏洞了。不知道这次微软会不会为其发补丁呢？期待2010年新年的第一个周二补丁日。

【编辑推荐】