微软IIS6漏洞：服务器敏感信息易被窃

　　近日，安全专家对使用微软Internet信息服务IIS 6的管理员发出警告，声称Web服务器很容易受到攻击并暴露出密码保护的文件和文件夹。

　　据悉，基于WebDAV协议的部分进程命令中存在这种漏洞。通过给Web地址添加一些Unicode字符，黑客就可以访问这些敏感文件——这些文件一般都有系统密码保护。另外，该漏洞也可以被用来给服务器上传恶意文件。

　　Nikolaos Rangos安全研究员表示，“Web服务器在解析和发回数据的时候，不能正确地处理unicode令牌。”

　　美国计算机应急准备小组也已经发现此问题，该组织建议禁用WebDAV协议，直至问题完全得到解决。不过，该漏洞只存在于IIS6版本里面，并且WebDAV默认是关闭的。

　　而微软公司的安全团队也正在研究这份报告，公司发言人说道，“我们目前还不清楚是否有人利用这种漏洞发动攻击，也不清楚对客户造成了怎样的影响，”

　　根据报告，以下四个字符串在访问密码保护的protected.zip文件的时候是必须用到的，该.zip文件存在于一个名叫protected的文件夹下面：

　　GET /..%c0%af/protected/protected.zip HTTP/1.1 Translate: f Connection: close Host: servername

　　unicode字符“"%c0%af”实际上是被转换为“/”，而输入的命令又会让IIS6迅速解析为一个有效的文件路径。在黑客发送请求后，Web服务器并不会对他进行验证请求就给他发送返回数据包。

　　据介绍，这种攻击可被用来访问访问、上传和查看受密码保护的WebDAV文件夹。Secunia对此漏洞评论为“中等危急”。

　　该报告也让人想起了2001年出现的IIS漏洞。那时，攻击者可以利用这个漏洞绕过IIS的路径检查，去执行或者打开任意的文件。

微软IIS6漏洞：服务器敏感信息易被窃相关推荐

迅雷的xss漏洞和敏感信息泄露
漏洞详情披露状态: 2010-07-23: 细节已通知厂商并且等待厂商处理中 1970-01-01: 厂商已经确认,细节仅向厂商公开 1970-01-11: 细节向核心白帽子及相关领域专家公开 19 ...
致远OA敏感信息泄露漏洞合集(含批量检测POC)
文章目录前言敏感信息泄露 A6 status.jsp 信息泄露漏洞漏洞描述漏洞影响网络测绘漏洞复现 POC 批量检测 getSessionList.jsp Session泄漏漏洞漏洞描述 ...
三、敏感信息泄露漏洞
敏感信息泄露漏洞一.漏洞简述敏感信息泄露漏洞是指在业务系统中对保密性要求较高的数据泄露二.数据类型 1.网站传输过程数据 2.数据库存储的数据 3.浏览器的交互数据三.信息分类 1.系统敏感信 ...
Web应用防火墙的敏感信息泄露保护功能可以防护哪些敏感数据泄漏？
背景信息防敏感信息泄漏功能是Web应用防火墙针对<网络安全法>提出的"网络运营者应当采取技术措施和其他必要措施,确保其收集的个人信息安全,防止信息泄露.毁损.丢失.在发生或者可 ...
开源自动化服务器软件 Jenkins 被曝严重漏洞，可泄露敏感信息
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队本周一,热门开源自动化服务器软件 Jenkins 发布安全公告称,Jetty web 服务器中存在一个严重漏洞,可导致内存损坏并导致机 ...
最新英特尔CPU漏洞SWAPGS曝光，允许黑客访问内存敏感信息
边信道攻击(side channel attack 简称SCA),又称侧信道攻击:针对加密电子设备在运行过程中的时间消耗.功率消耗或电磁辐射之类的侧信道信息泄露而对加密设备进行攻击的方法被称为边信道攻 ...
思科商用路由器存在漏洞，无需认证即可拷贝敏感信息...
2月1日雷锋网(公众号:雷锋网)报道,Rapid7研究人员在思科 RV320和RV325两种型号路由器中发现了一个名为CVE-2019-1653的漏洞,该漏洞将允许未经身份验证的远程攻击者检索其保存的 ...
linux心跳包检测代码_OpenSSL心跳包越界读敏感信息泄漏漏洞
发布日期:2014-04-10 CVE ID:CVE-2014-0160 受影响的软件及系统: ==================== OpenSSL 1.0.1-OpenSSL 1.0.1f Op ...
6月第1周安全回顾 Flash Player漏洞危机邮件泄漏敏感信息
本文同时发表在:[url]http://netsecurity.51cto.com/art/200806/75634.htm[/url] 本周(080526至080601)的信息安全威胁程度为低. ...

微软IIS6漏洞：服务器敏感信息易被窃

微软IIS6漏洞：服务器敏感信息易被窃相关推荐

最新文章

热门文章