webForumDet fria alternativet

Säkerhetslåt i IIS4.0

ASP

6 svar · 459 visningar · startad av Brimba

Medlem sedan dec. 19995 874 inlägg
Frågan#1

Hej!

Jag har IIS4 och jag vet om att det finns ett säkerhetshål. Man kan göra så att man skriver http://www.blabla.se/blabla.asp::$blabla

så får man se ASP källkoden, det är ju inte så bra att folk kan komma åt detta :(

Någon som har en länk till var jag kan ladda ner updaten som fixar detta.

De flesta kanske känner till exakt vad man skall skriva men jag har endå plockat bort det eftersom det inte bör spridas mer än onödigt.

Tack!

------------------
Mvh
Patrik
aka Brimba

www.datormaklarna.se
patrik@datormaklarna.se

[Redigerat av Brimba den 03 mar 2000]

Medlem sedan dec. 19992 555 inlägg
#2

Oj, det var en gammal bug du dras med. Fixades väl redan i SP4 (har jag för mig). :)

De flesta kanske känner till exakt vad man skall skriva men jag har endå plockat bort det eftersom det inte bör spridas mer än onödigt.

Då får den som inte visste det, reda på det nu då (anser nämligen att man tvärtom skall sprida sådan kunskap så mycket som det bara är möjligt, så att folk får reda på hur de skall säkra sin utrustning - "security by obscurity" är aldrig bra i längden). :)

Handlar egentligen om två likartade säkerhetshål:
http://support.microsoft.com/support/kb/articles/Q193/7/93.ASP
http://support.microsoft.com/support/kb/articles/Q188/8/06.ASP

Och senaste SP skall täta dem bägge två vad jag vet.

------------------
Robban < robban@lipogram.com >

Medlem sedan dec. 19995 874 inlägg
#3

Hej!

Jag har SP6. Plus att jag har uppgraderat ytterligare för att fixa en bugg i SP6. Men det är inte fixat endå.

Därför hoppas jag på att det kanske kan fixas med en update till SP6.

Får väl leta vidare.

------------------
Mvh
Patrik
aka Brimba

www.datormaklarna.se
patrik@datormaklarna.se

Medlem sedan dec. 19992 555 inlägg
#4

Har du möjligen installerat IIS4 efter att du installerade SP6? Installera om SP6 i så fall.

Detta säkerhetshål SKALL vara fixat i senare SP.

------------------
Robban < robban@lipogram.com >

Medlem sedan dec. 19995 874 inlägg
#5

Hej! Jag minns inte riktigt i vilken ordning jag installerade programmen. Om det var Sp6 först eller sist.
Men jag har iaf löst den buggen manuellt nu, så det är inga problem. Men kanske borde ominstallera SP6 iaf för den kanske har andra buggar?

------------------
Mvh
Patrik
aka Brimba

www.datormaklarna.se
patrik@datormaklarna.se

Medlem sedan dec. 19992 555 inlägg
#6

Men kanske borde ominstallera SP6 iaf för den kanske har andra buggar?

Rekommenderas. Det har dykt upp ett antal säkerhetshål i IIS4 (eller program som samverkar med IIS) bara under det senaste året, varav några är MYCKET allvarliga (låter angriparen köra kommandon/program på servern). Dessutom ett antal som tillåter s.k. DOS-attacker (gör servern otillgänglig).

Men installera rätt SP6 bara (SP6a). Den första veckan (eller så) låg en version uppe som i sig innehöll nya buggar. Den är utbytt nu, så se till att du inte har den första versionen av SP6 som släpptes.

------------------
Robban < robban@lipogram.com >

Medlem sedan dec. 19995 874 inlägg
#7

Lustigt.....

Jag har nu installerat SP6a. Men det såg lite lustigt ut när jag gjorde det.

När jag startat NT 4.0 så står det när den blåa skärmen är uppe: "build 1381 SP6"

Men när jag installerade SP6 så gav den en fråga som löd:

Vill du installera SP6a?

SP1 kommer att ersättas av
SP6.

Altså hade jag nog SP6 på vissa filer eftersom den sa så.
Så troligtvis hade jag installerat IIS4 efter SP6 och IIS4 ersatte några filer som inte var så bra :(
Men det är fixat nu, plus att den täckte den buggen automatiskt nu altså ::$DATA buggen. Jag provade :) Det var ju bra tyckte jag.

Ha det gutt!

Tack för hjälpen!

------------------
Mvh
Patrik
aka Brimba

www.datormaklarna.se
patrik@datormaklarna.se

266 ms totalt · 4 externa anrop · v20260731065814-full.a51de22e
127 ms — deklarationer (db)
0 ms — hämta statistik (cache)
135 ms — hämta tråd, inlägg och bilagor (db)
123 ms — ändringar (db)