基于Windows的攻擊可以繞過文件限制和網絡檢測
在2010年波士頓SOURCE大會上，安全研究人員表示，微軟Windows的向后兼容性使攻擊者能夠繞過文件限制或網絡安全防御（如入侵檢測系統）。
核心安全技術公司的技術支持工程師Dan Crowley，介紹了幾種在Web服務器（Nginx、Cherokee、Mongoose和LightTPD）的Windows版本中繞過這些保護的方法。最明顯的是在Windows 中使用8.3別名。這些別名是兼容DOS的別名，它們在Windows創建一個文件時創建。這兩個文件名都可以被訪問，盡管它們不一樣。
核心安全技術公司在今年二月報告了8.3文件系統別名漏洞。
8.3別名是8個字符的文件名，還有3個字符的文件擴展名。在Windows中，它們是文件名的前6個字符，后面是一個波形符、一個數字、一個點和文件擴展名（如~1.txt）。在文件名中所有其他字符被Windows截斷。Crowley說，這大大增加了暴力攻擊的效率，因為猜測文件名所需的時間和資源大大減少了。理論上，攻擊者可以通過別名來調用文件，查看源代碼，通過上傳惡意軟件操縱它。文件在下一次被合法調用時，系統就擁有了它。
他補充說，他的所有測試都是在基于Web的平臺上完成的，但他表示，任何接受用戶輸入的應用程序都容易受到這種攻擊。
Crowley說，“應用程序進行基于字符串的文件路徑分析，這樣做是為了決定如何處理文件、拒絕訪問或確定惡意輸入。這些替代文件名，甚至重整文件名，可以繞過或破壞很多東西。操作系統與文件系統交互，而不是應用程序。正因為如此，它進行基于字符串的分析，將分析傳到文件系統，如果它認為合法，就不需要文件系統確認了。”
由IDS規則引起的問題，例如，如果他們尋找example.php，exampl~1就不會被標記。這樣攻擊者就能訪問文件或發送遠程代碼。
Crowley說，一個緩解方法是禁用8.3別名。
他說，理想情況下，最好的緩解方法是停止基于字符串的文件路徑分析。
【編輯推薦】
