6 svar · 445 visningar · startad av Brimba
Hej!
Är det någon som har några tips om säkerhetsbrister i Windows 2000 med IIS 5?
Jag hade ett litet intrång här i helgen. Personen hade skapat en fil i en katalog som inte borde kunna gå att komma åt.
Några tips på var jag kan "leta" efter spår om hur personen kom in i systemet?
RDS exploateringen kanske?
Kör du en databas? Då kan man använda "elaka" URL:er för att få FULLSTÄNDIGA rättigheter... 
Vill du förklara lite mer?
Samt hur jag kan skydda mig.
I princip går det ut på:
IIS körs som en PRIVILEGDED user och har fullständiga rättigheter.
Genom att utnyttja en databaskoppling kan en hackare skriva/läsa på hela din hårddisk.
Skall ge ett exempel... antag att du kör en default installation, då installeras lite sample siter osv. Då installeras t.ex. Guestbook databasen. Då kan man t.ex. söka på personer som har skrivit i gästboken.
Genom att utnyttja databaskopplingen kan man då skriva t.ex.
<A HREF="http://siteadress/scripts/samples/details.idc?FName=Test&LName=User|shell("cmd" TARGET=_blank>http://siteadress/scripts/samples/details.idc?FName=Test&LName=User|shell("cmd</A> /c copy c:\winnt\repair\sam._ c:\inetpub\wwwroot\hack.tmp")|
Detta kopierar sam._ filen till roten för websiten (om nu siten ligger under c:\inetpub\wwwroot\ )
Sedan kan man tanka hem din sam._ fil.
Köra l0phtcrack och tadaddaaaaa.
Vad gör då URL:en ovanför? Genom att använda PIPES kan man få tillgång till dina hårddiskar genom t.ex. cmd.com.
Vill jag t.ex. ändra dina sidor kan jag starta din TFTP klient och hämta hem en kul .html sida och skriva över dina .html sidor.
Denna exploatering härstammar från IIS 2.0, men det finns script för IIS 4/5 som gör att man kan få tillgång till din cmd.com. Jag har för mig att det skall finnas någon m$-patch som skall fixa detta...
Det finns ett antal artiklar om detta hos RFP (Rain Forrest Puppy)
http://www.wiretrip.net/rfp/pages/kbindex.asp?iface=4
[Redigerat av D3VaST8D den 07 maj 2001]
Man tackar och bugar.
"Last updated May 4, 2001" 
När det gäller den ursprungliga frågan kan jag mycket väl kunna tänka mig att det var följande säkerhetshål som utnyttjades:
http://www.microsoft.com/technet/security/bulletin/MS01-023.asp
För bara några dagar sedan släpptes ett fungerande verktyg för att enkelt kunna utnyttja detta hål, så nu har alla script kiddies julafton. Vi lär få se fler intrång på IIS5-servrar, misstänker jag.
