微软:合理操作就可避免IIS零日漏洞
来源:岁月联盟
时间:2010-02-13
据悉,巴德是在上周传出IIS曝出远程控制漏洞后所作出的回应。但是调查发现IIS服务中存在一个无法处理URL间隔号的缺陷,不过该缺陷不会允许黑客绕过安全过滤软件向IIS服务器上传可执行代码。
巴德还认为,同一目录下IIS服务的默认配置会阻止潜在的安全,用户只要按照正常的安全步骤进行操作就不用担心任何问题。
上周,专业漏洞分析公司Secunia的研究人员索罗什·戴利指出,微软IIS服务存在高危漏洞。漏洞的成因是IIS对文件名中含有分号或冒号间隔的解析方式。许多Web应用程序被配置为拒绝上传带有可执行文件,比如ASP(动态服务器主页)。
但是黑客把恶意程序XX.asp伪装成XX.asp..jpg或其他无害的文件,能绕过防火墙等防护设施。
由此可见,按照微软官方的说法,用户只要合理操作就能避免该漏洞造成危害。