由于Windows NT/2000的普及率和市場(chǎng)占有率比較高，所以很容易使它成為很多黑客攻擊的目標(biāo)。目前，Windows NT/2000最主要的漏洞有Unicode漏洞、.ida/.idq緩沖區(qū)溢出漏洞、Microsoft IIS CGI文件名錯(cuò)誤解碼漏洞、MSADCS RDS弱點(diǎn)漏洞、FrontPage服務(wù)器擴(kuò)展和.Printer漏洞等等。下面筆者將對(duì)這些漏洞的原理、危害程度、檢測(cè)和解決辦法分別進(jìn)行介紹。

　　一、Unicode漏洞

　　1.漏洞危害

　　在Unicode字符解碼時(shí)，IIS 4.0/5.0存在一個(gè)安全漏洞，導(dǎo)致用戶(hù)可以遠(yuǎn)程通過(guò)IIS執(zhí)行任意命令。當(dāng)用戶(hù)用IIS打開(kāi)文件時(shí)，如果該文件名包含Unicode字符，系統(tǒng)會(huì)對(duì)其進(jìn)行解碼。如果用戶(hù)提供一些特殊的編碼，將導(dǎo)致IIS錯(cuò)誤地打開(kāi)或者執(zhí)行某些Web根目錄以外的文件。未經(jīng)授權(quán)的用戶(hù)可能會(huì)利用IUSR_machinename賬號(hào)的上下文空間訪問(wèn)任何已知的文件。該賬號(hào)在默認(rèn)情況下屬于Everyone和Users組的成員，因此任何與Web根目錄在同一邏輯驅(qū)動(dòng)器上的能被這些用戶(hù)組訪問(wèn)的文件都可能被刪除、修改或執(zhí)行。通過(guò)此漏洞，您可查看文件內(nèi)容、建立文件夾、刪除文件、拷貝文件且改名、顯示目標(biāo)主機(jī)當(dāng)前的環(huán)境變量、把某個(gè)文件夾內(nèi)的全部文件一次性拷貝到另外的文件夾去、把某個(gè)文件夾移動(dòng)到指定的目錄和顯示某一路徑下相同文件類(lèi)型的文件內(nèi)容等等。

　　2.漏洞成因

　　Unicode漏洞的成因可大致歸結(jié)為: 從中文Windows IIS 4.0+SP6開(kāi)始，還影響中文Windows 2000+IIS 5.0、中文Windows 2000+IIS5.0+SP1。臺(tái)灣繁體中文也同樣存在這樣的漏洞。它們利用擴(kuò)展Unicode字符(如利用“../”取代“/”和“\”)進(jìn)行目錄遍歷漏洞。據(jù)了解，在Windows NT中編碼為%c1%9c，在Windows 2000英文版中編碼為%c0%af。

　　3.漏洞檢測(cè)

　　首先，對(duì)網(wǎng)絡(luò)內(nèi)IP地址為*.*.*.*的Windows NT/2000主機(jī)，您可以在IE地址欄輸入http:// *.*.*.*/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir(其中%c1%1c為Windows 2000漏洞編碼，在不同的中，您可使用不同的漏洞編碼)，如漏洞存在，您還可以將Dir換成Set和Mkdir等命令。

　　其次，您要檢測(cè)網(wǎng)絡(luò)中某IP段的Unicode漏洞情況，可使用有如Red.exe、SuperScan、RangeScan掃描器、Unicode掃描程序Uni2.pl及流光Fluxay4.7和SSS等掃描軟件來(lái)檢測(cè)。

　　4.解決方法

　　若網(wǎng)絡(luò)內(nèi)存在Unicode漏洞，可采取如下方法進(jìn)行補(bǔ)救:

　　(1)限制網(wǎng)絡(luò)用戶(hù)訪問(wèn)和調(diào)用CMD命令的權(quán)限;

　　(2)若沒(méi)必要使用SCRIPTS和MSADC目錄，刪除或改名;

　　(3)安裝Windows NT系統(tǒng)時(shí)不要使用默認(rèn)WINNT路徑，您可以改為其他的文件夾，如C:\mywindowsnt;

　　(4)用戶(hù)可從如下地址下載Microsoft提供的補(bǔ)丁:http://www.microsoft.com/ntserve ... q269862/default.asp為IIS 4.0的補(bǔ)丁地址，http://www.microsoft.com/windows ... q269862/default.asp為IIS 5.0補(bǔ)丁地址。

　　二、.ida/.idq緩沖區(qū)溢出漏洞

　　1.漏洞危害及成因

　　作為安裝IIS過(guò)程的一部分，系統(tǒng)還會(huì)安裝幾個(gè)ISAPI擴(kuò)展.dlls，其中idq.dll是Index Server的一個(gè)組件，對(duì)管理員腳本和Internet數(shù)據(jù)查詢(xún)提供支持。但是，idq.dll在一段處理URL輸入的代碼中存在一個(gè)未經(jīng)檢查的緩沖區(qū)，攻擊者利用此漏洞能導(dǎo)致受影響服務(wù)器產(chǎn)生緩沖區(qū)溢出，從而執(zhí)行自己提供的代碼。更為嚴(yán)重的是，idq.dll是以System身份運(yùn)行的，攻擊者可以利用此漏洞取得系統(tǒng)管理員權(quán)限。

　　2.解決方法

　　用戶(hù)可以分別到http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30833和http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30800處下載補(bǔ)丁，或刪除對(duì).idq和.ida的腳本映射。如果其他系統(tǒng)組件被增刪，有可能導(dǎo)致該映射被重新自動(dòng)安裝。

　　注意:安裝Index Server或Index Services而沒(méi)有安裝IIS的系統(tǒng)無(wú)此漏洞;另外，即使Index Server/Indexing Service沒(méi)有開(kāi)啟，但是只要對(duì).idq或.ida文件的腳本映射存在，攻擊者也能利用此漏洞。受影響平臺(tái)有Windows NT 4.0、Windows 2000、Windows XP beta; 受影響的版本有Microsoft Index Server 2.0、Indexing Service in Windows 2000。