شناسایی 10حفره بزرگ ویندوز و نحوه بستن آنها (قسمت سوم) (شماره 58)
5- نصب یک فیلتر بر سر راه درخواست های مخرب روی HTTP : بسیاری از حفره های شناخته شده که کرمهایی نظیر Code Blue یا Code Red از آن بهره می گیرند مربوط به این حفره روی IIS هست اما می توانید یک فیلتر قوی جلوی ارسال هرگونه درخواست مخرب بگذارید و جلوی نفوذ را بگیرید. خود مایکروسافت برای این کار استفاده از نرم افزار URLSCAN را توصیه می کند که می توانید از آدرس زیر آن را بردارید و روی سرور و ماشین خود اجرا کنید:
microsoft.com/technet/security/tools/Locktool.asp
2- دومین حفره بزرگ کامپوننت های روی دیتااکسس مایکروسافت ( MDAC ) است.
سرویس دیتای از راه دور یا RDS جزو مولفه های اصلی روی دیتااکسس نسخه های قدیمی است. روی این برنامه شکافی وجود دارد که به کاربران از راه دور اجازه می دهد فرمان هایی را در حد راهبر سیستم به اجرا بگذارند.
این در حفره در Jet database engine 3.5 روی برنامه اکسس قرار گرفته است و این exploit به هر کاربر ناشناس یا anonymous خارجی اجازه دسترسی به دیتای داخلی را می دهد.(با نصب نسخه بالاتر حفره برطرف می شود). از این حفره به مدت 2سال در بسیاری از حملات هکری استفاده شد اما جلوی بیشتر آنها از سوی مایکروسافت با دستورالعمل های لازم بسته شد.
سیستم های قدیمی و راهبرانی که با این حفره آشنا نبوده و نیستند هنوز در معرض خطرند و از این ناحیه هک می شوند.
اغلب ویندوزهای NT با IIS نسخه 3 و 4 و نیز RDS نسخه 5/1 یا ویژوال استودیو نسخه 6 تحت تاثیر این حفره و نفوذپذیر هستند.
اگر NT نصب کرده اید دنبال یک فایل به نام msadcs.dll بگردید و بدانید که حفره ذکر شده از طریق این DLL سیستم شما را تهدید می کند. خود مایکروسافت چندین بولتن امنیتی در این باره منتشر کرده است. برای رفع حفره می توانید به نشانی های زیر مراجعه کنید:
http://support.microsoft.com/support/ kb/articles/q184/3/75.asp
http:// http://www.microsoft.com/technet/security/bulletin/ms98- 004.asp
http://www.microsoft.com/technet/security/bulletin/ms 99- 025.asp
بهترین راه چاره به روز کردن MDAC است. اگر این کار را روی ماشین سرور خود که NT دارد انجام دهید همه مشکلات حل می شود برای دانلود کردن آن به نشانی زیر مراجعه کنید:
www.microsoft.com/data/Download.htm
یکی از راهها، رفتن به شاخه زیر در رجیستری و ساختن یک پوشه به ارزش DWORD است.
نام پوشه را باید HandlerRequired بگذارید و value آن را به یک (1) تغییر دهید:
HKEY-LOCAL-machine\Software\Microsoft\DataFactory\HandleriNFO
ورودی دیگر در نشانی های زیر در رجیستری را کاملا پاک کنید:
HKEY-CLASSES-ROOT\Microsoft.jet.OLEDB.3.51
HKEY=CLASSES-ROOT\Microsoft.jet.OLEDB.3.51 Errors
