WinXP安全漏洞系統(tǒng)8之DCOM RPC 接口中的緩沖區(qū)溢出漏洞

「漏洞描述」：遠(yuǎn)程過(guò)程調(diào)用 （RPC）提供了一種進(jìn)程間通信機(jī)制，通過(guò)該機(jī)制，在一臺(tái)計(jì)算機(jī)上運(yùn)行的程序可以順暢地執(zhí)行某個(gè)遠(yuǎn)程系統(tǒng)上的代碼。RPC 中處理通過(guò) TCP/IP消息交換的部分有一個(gè)漏洞，此問(wèn)題是由錯(cuò)誤地處理格式不正確的消息造成的。這種特定的漏洞影響分布式組件對(duì)象模型 （DCOM） 與 RPC 間的一個(gè)接口，此接口偵聽(tīng) TCP/IP 端口 135. 任何能135 端口發(fā)送 TCP 請(qǐng)求的用戶都能利用此漏洞，因?yàn)閃indows的RPC 請(qǐng)求在默認(rèn)情況下是打開(kāi)的。要發(fā)動(dòng)此類(lèi)攻擊，黑客要向 RPC 服務(wù)發(fā)送一條格式不正確的消息，從而造成目標(biāo)計(jì)算機(jī)受制于人，攻擊者可以在它上面執(zhí)行任意代碼，能夠?qū)Ψ?wù)器隨意執(zhí)行操作，包括更改網(wǎng)頁(yè)、重新格式化硬盤(pán)或向本地管理員組添加新的用戶。 去年“沖擊波”蠕蟲(chóng)及其變種病毒就是利用了該漏洞，病毒在TCP 135端口上掃描隨機(jī)的IP地址范圍，以便搜索容易攻擊的系統(tǒng)。它試圖使用DCOM RPC漏洞，通過(guò)開(kāi)放的RPC端口傳播。

「解決辦法」：微軟為此發(fā)布了安全補(bǔ)丁，該補(bǔ)丁修改 DCOM了接口，使之能夠檢查向它傳遞的信息，這樣也就堵住了漏洞，防止感染“沖擊波”病毒。建議下載安裝該補(bǔ)丁（http://www.microsoft.com/china/technet/security/bulletin/MS03-026.asp）。如果不能安裝補(bǔ)丁，應(yīng)該如下操作：

;1、在防火墻上封堵 135 端口。 135 端口用于啟動(dòng)與遠(yuǎn)程計(jì)算機(jī)的 RPC 連接。在防火墻上封堵 135 端口，可以幫助防火墻內(nèi)的系統(tǒng)防范通過(guò)利用此漏洞進(jìn)行的攻擊。

;2、Internet 連接防火墻。 使用 WinXP/2003 中的 Internet 連接防火墻，則默認(rèn)情況下會(huì)阻止來(lái)自 Internet 的入站 RPC 通信信息。

3、禁用DCOM如果你的機(jī)器是網(wǎng)絡(luò)的一部分，則該計(jì)算機(jī)上的 COM 對(duì)象將能夠通過(guò) DCOM 網(wǎng)絡(luò)協(xié)議與另一臺(tái)計(jì)算機(jī)上的 COM 對(duì)象進(jìn)行通信，你可以禁用自己機(jī)器上的 DCOM，幫助其防范此漏洞。

;十三、Windows Shell中未經(jīng)檢查的緩沖區(qū)的漏洞（發(fā)布日期：2003-7-16）

「漏洞描述」：Windows Shell 負(fù)責(zé)提供 Windows 用戶界面的基本框架（例如Windows 桌面），幫助定義用戶的計(jì)算會(huì)話（包括組織文件和文件夾），以及提供啟動(dòng)應(yīng)用程序的方法等。Windows Shell使用的某項(xiàng)功能中存在一個(gè)未經(jīng)檢查的緩沖區(qū)，它可以從某些文件夾中提取自定義屬性信息。黑客可以利用此缺陷發(fā)動(dòng)攻擊，在你的系統(tǒng)上運(yùn)行代碼，從而造成安全漏洞。成功利用該漏洞的攻擊者即可完全控制受影響的系統(tǒng)，包括安裝程序；查看、更改或刪除數(shù)據(jù)；或者創(chuàng)建擁有完全權(quán)限的新帳戶。 黑客通過(guò)下面的方法利用此漏洞：創(chuàng)建一個(gè) desktop.ini 文件，在此文件包含一個(gè)惡意的自定義屬性，然后將此文件置于一個(gè)網(wǎng)絡(luò)共享位置，或通過(guò) HTML 電子郵件發(fā)送此文件。如果你瀏覽了存儲(chǔ)此文件的共享文件夾，該漏洞就將被利用。另外，HTML電子郵件可能包含一些代碼，這些代碼可自動(dòng)將用戶導(dǎo)航到一個(gè)包含有惡意文件的共享文件夾。一旦攻擊成功，將導(dǎo)致 Windows Shell 失敗，或者導(dǎo)致黑客的代碼在用戶機(jī)器的安全上下文中運(yùn)行。

「解決辦法」：安裝了WinXP 和WinXP Service Pack 1的用戶立即到以下地址http://www.cert.org.cn/articles/hole/common/2004071421822.shtml下載補(bǔ)丁，然后進(jìn)行更新，此補(bǔ)丁也將包含在 Windows XP Service Pack 2 中。