建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
這里有您想知道的互聯(lián)網(wǎng)營(yíng)銷(xiāo)解決方案
IIS源碼泄露及文件類(lèi)型解析錯(cuò)誤
漏洞介紹：IIS是微軟推出的一款webserver，使用較為廣泛，在支持asp/asp.net的同時(shí)還可以較好的支持PHP等其他語(yǔ)言的運(yùn)行。但是80sec發(fā)現(xiàn)在IIS的較高版本中存在一個(gè)比較嚴(yán)重的安全問(wèn)題，在按照網(wǎng)絡(luò)上提供的默認(rèn)配置情況下可能導(dǎo)致服務(wù)器泄露服務(wù)器端腳本源碼，也可能錯(cuò)誤的將任何類(lèi)型的文件以PHP的方式進(jìn)行解析，使得惡意的攻擊者可能攻陷支持PHP的IIS服務(wù)器，特別是虛擬主機(jī)用戶(hù)可能受的影響較大。
漏洞分析：
IIS支持以CGI的方式運(yùn)行PHP，但是此種模式下，IIS處理請(qǐng)求的時(shí)候可能導(dǎo)致一些同80sec提到的nginx安全漏洞一樣的問(wèn)題，任何用戶(hù)可以遠(yuǎn)程將任何類(lèi)型的文件以PHP的方式去解析，你可以通過(guò)查看Phpinfo中對(duì)php的支持方式，其中如果為CGI/FAST-CGI就可能存在這個(gè)問(wèn)題。
黑盒訪問(wèn)
查看文件是否存在和返回的HTTP頭就可以知道是否存在此漏洞。
同時(shí)，如果服務(wù)器支持了PHP，但應(yīng)用中使用的是asp就可以通過(guò)如下方式來(lái)直接查看服務(wù)端asp源碼
漏洞廠商：http://www.microsoft.com
解決方案：
我們已經(jīng)嘗試聯(lián)系官方，但是此前你可以通過(guò)以下的方式來(lái)減少損失
【編輯推薦】
- IIS的安裝以及常見(jiàn)問(wèn)題的解決方法
- 精心配置IIS打造安全Web服務(wù)器
- 在線門(mén)診火爆進(jìn)行中：從檢測(cè)到防護(hù)：全面打造網(wǎng)站安全
- 網(wǎng)站安全解決方案白皮書(shū)下載
- SQL注入及XSS攻擊防御技術(shù)白皮書(shū)下載
- 拯救網(wǎng)站運(yùn)維經(jīng)理趙明有獎(jiǎng)活動(dòng)進(jìn)行中
- 以色列終極反入侵武器：CHECK POINT軟件刀片
當(dāng)前文章：IIS源碼泄露及文件類(lèi)型解析錯(cuò)誤
標(biāo)題來(lái)源：http://m.fisionsoft.com.cn/article/djdhedi.html
