| 词条 | Unicode漏洞 |
| 释义 | § 漏洞描述 攻击者可通过IE浏览器远程运行被攻击计算机的cmd.exe文件，从而使该计算机的文件暴露，且可随意执行和更改文件。 § 名词解释 Unicode标准被很多软件开发者所采用，无论何种平台、程序或开发语言，Unicode均为每个字符提供独一无二的序号，如向IIS服务器发出包括非法Unicode UTF-8序列的URL，攻击者可使服务器逐字“进入或退出”目录并执行任意程序，该攻击即称为目录转换攻击。 Unicode用“%2f”和“%5c”分别代表“/”和“\\”字符，但也可用“超长”序列来代替这些字符。“超长”序列是非法的Unicode表示符，如用“%c0%af”代表“/”字符。由于IIS不对超长序列进行检查，因此在URL中添加超长的Unicode序列后，可绕过微软的安全检查，如在一个标记为可执行的文件夹发出该请求，攻击者即可在服务器上运行可执行文件。 § 对策 (1)为避免该类攻击，建议下载最新补丁，网址如下所述 http://www.microsoft.com/technet/security/bulletin/MS00-078.asp(2)安装IIS Lockdown和URL Scan来加固系统，从而避免该类攻击。 IIS Lockdown的下载地址如下所述 http://www.microsoft.com/technet/security/tools/locktool.asp URLScan的下载地址如下所述 http://www.microsoft.com/technet/security/URLScan.asp(3)安装Windows 2000的Service Pack 2以上的版本。 |
| 随便看 |
百科全书收录594082条中文百科知识，基本涵盖了大多数领域的百科知识，是一部内容开放、自由的电子版百科全书。