向黔昆的博客

         微软周一发布了一个安全咨询，解决了在其Internet信息服务(IIS)Web服务器软件中的一个潜在漏洞。

      Redmond说，这一漏洞涉及到IIS 5.0、5.1和6.0版本。微软表示，他们目前还未发现有针对IIS的任何“已知攻击”，但他们正在调查此事。IIS是继Apache HTTP服务器之后世界上最常用的Web服务器。

     独立安全研究人员是于上周晚些时候首先发现该漏洞的。本周一，美国计算机安全紧急响应小组(US-CERT)证实，确实有IIS被非法入侵的威胁。

     在其安全咨询中，微软认定这些漏洞只是三个“中介因素”，直到他们公布调查结论并发布一个新的补丁。

     首先，微软建议系统管理员通过维护文件系统访问控制列表(ACL)的固件和可执行性。以取缔访问控制安全，提高访问权限，减轻安全问题。微软解释说，在这种情况下 “此漏洞不能以匿名用户帐户的形式通过文件系统ACL使用超过级别授予的访问。”

     第二种方法涉及配置孤立文件，采用匿名或管理用户帐户则拒绝执行，更改或删除权限的默认。这样，一个如“ SECADMIN ”或“SYSADMIN”的匿名名单的用户配置文件就不在具有访问权限。

     最后缓解技巧涉及禁用基于Web的分布式创作和版本控制(WebDAV)。微软的顾问说，这方法特别适用于Windows Server 2003系统运行IIS 6.0。该咨询顾问补充说，在IIS 6.0中“ WebDAV并未启用。”并缺省配置，除非由管理员启用，否则该系统仍是相对暴露状态。

     Shavlik Technologies公司首席技术官Eric Schultze提供一个值得IT专业人员研究的漏洞警示。

    “这个漏洞可以使攻击者在Web服务器上阅读网页代码，而这些网页可能包括网络服务器所控制的用户名或密码等应用程序或数据库。” Schultze在一份声明中指出。“我建议人们运行IIS 5或IIS 6时运行微软的IIS锁定功能和URLscan工具。这两种工具禁用WebDAV，以便保护您的系统。”

     一些漏洞之前已经出现过，并在IIS之前安装了修补程序。2008年2月，微软发布了两项补丁来解决中的IIS特权提升和远程代码执行漏洞。当时，有人说，攻击者可以通过控制工作进程标识的应用程序控制IIS服务器，这是网络管理员帐户权限默认预设的。