Windows最危险的十个漏洞

fimqad

SANS（System Administration， Networking， Security-
系统管理、网络和安全学会）和NIPC（国家基础保护中心）
在最近联合发布了与互联网相关的SANS/FBI 20大系统安全
威胁列表。（注一）
来自SANS/FBI联合发表的报告并非只是简单的列表。它提供
了关于漏洞和如何解决的颇有价值的信息。用户可以根据这
份原创报告来找出更多的特定漏洞。
以下列出了以往找出的Windows系统存在重大漏洞的服务名单：
W1 IIS（互联网信息服务器）
W2 微软数据访问部件（MDAC）－远程数据服务
W3 微软SQL Server
W4 NETBIOS－不受保护的Windows网络共享
W5 匿名登入 -- Null Sessions（空会话，注二）
W6 LAN Manager 身份认证 －易被攻击的LAN Manager口令散列（注三）
W7 一般Windows身份认证－帐户密码太脆弱或干脆为空
W8 IE浏览器漏洞
W9 远程注册表访问
W10 WSH（Windows脚本主机服务）
让我们进一步了解上述漏洞。
1. IIS服务器
微软的IIS服务器存在缓存溢出漏洞，它难以合适地过滤客户端
请求，执行应用脚本的能力较差。部分问题可以通过已发布的
补丁解决，但每次IIS的新版本发布都带来新的漏洞，因此IIS
出现安全漏洞并不能完全归罪于网管的疏漏。建议管理人员
运行HFNetChk来检查目前可更新的补丁。
适用性说明——Windows NT 4运行 IIS 4， Windows 2000
 运行IIS 5，Windows XP Pro运行 IIS 5.1 。
修复方法——安装补丁文件。为你的系统安装最新的IIS补丁，
并在IIS中排除恶意用户的访问IP地址（相关解释见：http://www.microsoft.com/technet/security/tools/urlscan.asp）。
删除IIS中缺省支持的ISAPI扩展名，诸如：.htr、.idq、.ism
以及.printer，这些可执行脚本的扩展名在IIS安装时缺省支持，
但用户很少会需要它们。删除\inetput\wwwroot\scripts目录中的
脚本样本文件。同样，在进行IIS安装时不要安装远程管理工具。
2. MDAC
微软数据访问部件的远程数据服务单元有一个编码错误，远程
访问用户有可能通过这一漏洞获得远程管理的权限，并有可能使
数据库遭到外部匿名攻击。
适用性说明——NT 4.0系统运行IIS 3.0和4.0，RDS 1.5或是 VS 6.0。
修复方法——升级MDAC到2.1或更新的版本，或者基于以下发布的方法进行系统配置：
Q184375
MS98-004
MS99-025
从上述公告发布的时间可以看出，这些漏洞是所谓的well-know
 (著名的) 漏洞。实际上上述漏洞常被用来攻击Windows
网络 ，尤其是那些较早的系统。
3. 微软SQL数据库
Internet Storm Center始终在警告用户微软SQL数据库的1433
端口是攻击者必定扫描的十大现存漏洞端口之一。
适用性说明——SQL服务器7.0，SQL服务器2000以及SQL桌面安装版本。
修复方法——根据各自的系统安装下面的其中一个补丁：
SQL Server 7.0 服务包 4
SQL Server 2000 服务包 2
4. NETBIOS/Windows网络共享
由于使用了服务器信息块(SMB) 协议或通用互联网文件系统
(CIFS)，将使远程用户可以访问本地文件，但也向攻击者开放了系统。
适用性说明——所有的windows系统。
风险——肆虐一时的Sircam和Nimda蠕虫病毒都利用这一漏洞
进行攻击和传播，因此用户对此绝对不能掉以轻心。
修复方法——限制文件的访问共享，并指定特定IP的访问限制
以避免域名指向欺骗。关闭不必要的文件服务，取消这一
特性并关闭相应端口。
注一：SANS（System Administration， Networking，
and Security-系统管理、网络和安全学会）SANS和FBI已经陆
续联合发表多个网络安全危险名单，这似乎已经成了一个惯例。
注二：Null Session被认为是WIN2K自带的一个后门。当建立
一个空会话之后，对于一台配置不到位的WIN2K服务器来说，
那么将能够得到非常多的信息，比如枚举帐号等等。更详细的解释请参照：
http://www.20cn.net/ns/hk/hacker/data/20020819051358.htm
注三：微软在Windows NT 和 2000系统里缺省安装了LAN Manager
口令散列。由于LAN Manager使用的加密机制比微软现在的方法
脆弱，LAN Manager的口令能在很短的时间内被破解。
5. 匿名登录
Window操作系统的帐户服务至关重要，但一旦用户通过匿名登
录进程(空对话)后就可以匿名访问其它系统中的文件。
不幸的是，这意味着攻击者也可以匿名进入系统。
适用性说明——Windows NT， 2000以及XP系统
修复方法——用户唯一可以补救的就是修改注册表限制这一潜在
的威胁。在SANS的列表中提出了若干建议可供参考执行。
6. LAN Manager身份认证(易被攻击的LAN Manager口令散列)
尽管Windows的大多数用户不再需要LAN Manager的支持，微软
还是在Windows NT 和 2000系统里缺省安装了LAN Manager口令
散列。由于LAN Manager使用的早期加密机制比微软现在的方法
脆弱，即使相当强健的LAN Manager的口令也能在很短的时间内被破解。
适用性说明——所有的Windows操作系统: 缺省安装的Windows NT，
Windows 2000，Windows XP都存在这一漏洞。
修复方法——只要用户用不到它，就尽快取消LM认证支持，
具体详情还可以参照以下内容:
"如何取消NT系统的LM审核功能" [Q147706]
"LM兼容级别和影响" [Q175641]
"如何在Windows 95/98/2000及NT系统中支持NTLM 2审核" [Q239869]
"在活动目录和安全帐户管理的注册表键值中取消LM Hash审核" [Q299656]
7. Window 密码
脆弱的密码是管理人员的心腹大患。尽管各种系统设置都要求
用户使用足够强壮的密码并进行定期更换，但用户往往抱怨
系统管理员做出的各种限制，这就引发了访问控制的脆弱性。
既然这一漏洞名列第七大系统漏洞，系统管理员就可以理直气壮
地要求用户遵守足够强壮的密码策略。
适用性说明——所有使用密码保护的系统和应用软件。
修复方法——笔者不想再赘述其他的密码建立和保护途径，
这属于用户和管理方面的问题。谁都不会忽略强壮密码的重要
性，但关键是如何把这一原则贯彻始终。
8. IE浏览器
对于IE浏览器的用户有以下几个方面的威胁
ActiveX控件
脚本漏洞
MIME 类型和内容的误用
缓存区溢出
风险——Cookies 和其它本地文件有可能被利用来威胁系统安全，
恶意代码有可能趁虚而入安装并运行，甚至恶意代码可以执行
删除和格式化硬盘的命令。
修复方法——升级并安装补丁文件。微软不再支持版本早于
5.01的IE浏览器，因此用户必须升级到5.01或更高版本。完成
浏览器升级到IE5.01或5.5后，安装IE 5.01服务包2或IE 5.5
服务包2 。然后安装安全补丁的最新累积版本Q32375。
9. 注册表访问
在任何Windows系统中，注册表都是最重要的文件，而允许远程
访问注册表将带来很大危害。适用性说明——所有的Windows版本：
在NT Resource Kit（资源套件）中有一个软件 regdump.exe ，
可以用来测试系统是否开放了远程注册表访问权限。
修复方法——限制访问：这并非是软件的bug，而是Windows系统所具
备的一个特性，因此用户必须通过限制访问权限来避免潜在的威胁。
微软知识库的文章Q153183说明了如何限制远程访问NT系统注册表，而SANS/FBI
报告中也提到了几种方法来限制授权和非授权的远程注册表访问。
10. WSH （Windows脚本主机服务）
用VB来编辑宏非常方便，但类似爱虫和其它VB脚本蠕虫病毒却
可以给用户系统带来难以预见的灾难，用户无意间下载的该类
恶意脚本文件，很可能通过WSH服务自动在系统中执行。
适用性说明——任何Windows系统
修复方法——取消WSH：按赛门铁克公司Symantec或Sophos）
提供的方法取消系统中WSH服务，这样恶意VB脚本就无法自动
执行了。然后运行反病毒软件并保证病毒定义库的同步更新，
以降低此类安全问题的风险。