快捷搜索:

FrontPage服务器扩展分析与安全策略

以前几年中发生了许多针对FontPage Server Extensions的重大年夜进击事故,以是FontPage Server Extensions的名声彷佛不是很好,一些安然教程以致觉得不值得去设法主见子前进FrontPage Server Extensions的安然性,建议直接予以删除 。然则,假如你确凿要应用FrontPage Server Extensions供给的诸多功能,例如对网站创作的支持,那就不得不卖力斟酌这样一个问题:是否有可能保障FrontPage Server Extensions的安然?谜底是肯定的,只是必须花些光阴进行筹划和设置设置设备摆设摆设。

虽然有许多人对FrontPage Server Extensions的安然性表示狐疑,但在年复一年的赓续成长中,它的安然性也在赓续前进。保障FrontPage Server Extensions的安然性是完全有可能的,但条件是要深入理解到底什么是FrontPage Server Extensions,以及它是若何运作的。

一、运行道理

FrontPage Server Extensions即FrontPage的办事器端扩展模块,它增强了Web办事器的功能,使得创作者能够远程治理和宣布网站,例如经由过程FontPage直接与Server Extensions交互,实现文件上载、连接到数据源、改动Web授权等操作。FrontPage Server Extensions还有一个称为WebBots的运行时组件,它供给了许多高档功能,诸如表单宣布、评论争论页面、内容链接等。

在办事器上安装FrontPage Server Extensions之后,可以看到它包括三个二进制文件--admin.dll,author.dll,和shtml.exe,分手实现治理、创作、运行支持。FrontPage Server Extensions的版本不合,这三个文件的扩展名可能不合,例如.dll可能变成.exe,.exe可能变成.dll。另一方面,IIS容许指定随意率性一种扩展名,由于IIS有一个名为fpexedll.dll的ISAPI筛选器,它会把哀求指向精确的位置。

这三个二进制文件驻留在_vti_bin虚拟目录中,_vti_bin虚拟目录映射到物理目录\program files\common files\microsoft shared\web serverextensions\40\isapi(或者,对付FrontPage Server Extensions 2002,物理目录是\program files\common files\microsoft shared\web server extensions\50\isapi)。所有FrontPage Web网站(指安装和启用了FrontPage Server Extensions的网站,下同)都有一个虚拟目录映射到该路经。FrontPage经由过程向这些二进制文件发送HTTP POST哀求,实现与Web办事器的通信,POST哀求的正文中包孕一些特殊的敕令(称为vti_rpc敕令),唆使办事器履行一些特定的操作。

FrontPage Server Extensions的办事工具不限于FrontPage,微软的其他许多技巧,包括Web文件夹、Office Web宣布、SharePoint小组办事,都离不开FrontPage Server Extensions,它以致还有一个ADO驱动法度榜样,可以用来查询FrontPage Web页面。显然,在微软的Web计谋筹划中FrontPage Server Extensions有侧紧张职位地方,短期之内弗成能被放弃。

二、风险阐发

虽然微软在赓续地改进FrontPage Server Extensions的安然性,但它弗成避免地增添了Web办事器面临进击的时机(一样平常而言,越是繁杂的系统,弱点老是越多)。例如,FrontPage Server Extensions供给了一种进入Web办事器的通道。用FrontPage连接Web办事器时要求输入一个密码,密码保护虽然不无益处,但同时也给进击者供给了预测密码的时机,进击者可以方便地使用脚本法度榜样履行暴力破解,很快就可以考试测验数百、数千个常用的密码,一旦密码泄露,进击者就可认为所欲为地改动Web内容了。

FrontPage Server Extensions面临的另一个安然问题是它可以用来网络办事器信息。只要向shtml.exe发送一个适当的HTTP POST哀求,就可以获得FrontPage Server Extensions版本、Web办事器软件版本、OS平台、匿名Web用户帐号、FrontPage Web网站的名称等信息,虽然这些信息本身不算机密,但方便了进击者采取更具有针对性的动作。

因为所有FrontPage Server Extensions敕令都是作为POST数据发送给各个二进制文件,IIS的日志中只能记录对这些二进制文件的POST哀求,却不能记录详细的_vti_rpc敕令。

虽然我们可以设置设置设备摆设摆设FrontPage Server Extensions,使其记录创作类的动作(默认不记录),但日志仍不能包管包孕敕令的参数。例如,假如一个治理员改动了FrontPage Web网站的设置设置设备摆设摆设,日志中会有一个"设置办事元数据"的条款,但没有进一步的详细信息,也便是说,它只能阐明"确凿有设置设置设备摆设摆设被改变了",但不能奉告我们"到底哪些设置设置设备摆设摆设被改变了"。别的,日志文件的位置也很难改变,一样平常老是保存在FrontPage Web网站的_vti_log目录下。

还有一个紧张的安然问题是FrontPage Server Extensions运行在IIS进程(inetinfo.exe)之内,它们都运行在SYSTEM帐户的安然高低文之下,是以,任何FrontPage Server Extensions的安然破绽(例如缓冲溢出)都可能使进击者得到整个的造访权限。

FrontPage Server Extensions带来的着末一个风险源于不能选择安装目录。一样平常环境下,Web目录该当和系统文件放在不合的分区,这种分离增添了进击者周全懂得文件系统的难度,避免进击者造访敏感的系统文件。然则,FrontPage Server Extensions的_vti_bin虚拟目录安装在系统分区上,不能发挥分离Web分区带来的上风。此外,_vti_bin虚拟目录带有可履行标记,假如呈现类似Nimda蠕虫的进击,很轻易被使用。

三、安然机制

FrontPage Server Extensions的安然模型建立在IIS和NTFS的安然之上。FrontPage Web网站有三种基础的造访授权:浏览,创作,和治理。赋予浏览权限意味着用户能够浏览FrontPage Web网站,赋予创作权限意味着用户能够上载和改动FrontPage Web网站的文件,假如赋予一个用户治理权限,那么他将能够改动FrontPage Web网站的设置设置设备摆设摆设。

FrontPage Web网站根目录的NTFS ACL设置抉择了用户造访文件系统的权限。假如一个用户有NTFS"读取"权限,他就可以浏览目录;假如用户有NTFS"写入"权限,他就可以创作FrontPage Web网站;假如要治理一个FrontPage Web网站,则用户必须有FrontPage Web网站根目录的"改动"权限。留意这些权限是NTFS文件系统的权限,而不是在Internet信息办事治理器(ISM)节制台中设置的Web造访权限。

当FrontPage客户法度榜样向author.dll或admin.dll发送一个POST哀求,办事器开始验证用户的身份。客户法度榜样发出POST哀求之后,IIS首先反省FrontPage Web网站的根目录,确定匿名用户帐户是否有权履行当前哀求的操作。假如没有,IIS要求用户供给名称和密码以便验证身份。用户提交名字和密码之后,FrontPage Server Extensions再次反省根目录,确定该用户身份是否具有适当的权限。假如FrontPage Server Extensions认可了用户的身份,则用户被视为具有Web创作者或治理员的权限。

这里很轻易呈现的一个问题是差错地设置FrontPage Web网站根目录的权限,或者将根目录放到了FAT分区。FrontPage Server Extensions 2000之前的版本安然性对照脆弱,默认设置设置设备摆设摆设不包孕密码;2000以及更高版本的FrontPage Server Extensions安然模型轻细稳固一些,采纳了非空的默认密码,但我们时时可以看到改动根目录授权的情形,赋予所有人"写入"的权限,分外是在开拓情况中,因为安然性的要求不高,这种情形尤其常见。假如IUSR_machinename(此中machinename是谋略机的名字)帐户具有写入根目录的权限,所有连接到FrontPage Server Extensions的用户将自动被赋予整个创作或治理FrontPage Web网站的权限。

类似地,因为FrontPage高度依附于NTFS的授权机制,安装在FAT文件系统上的FrontPage Server Extensions会将所有治理功能赋予每一个用户,由于FAT文件系统不具有限定文件造访的能力。

以是在应用FrontPage Server Extensions时,必然要换个收集位置来登录FrontPage Web网站,看看有没有呈现验证身份的提示;假如没有,那就应该仔细反省一下权限设置设置设备摆设摆设问题了。

四、十大年夜步伐

要保障FrontPage Server Extensions的安然,必须从多个角度、多个层次来斟酌。办事器的设置设置设备摆设摆设和安然策略将在很大年夜程度上抉择保障FrontPage Server Extensions安然的步伐。下面列出了十个步骤,以此为依据可以构造出一个对照完善的FrontPage Server Extensions安然策略。

㈠ 保障用户帐户的安然。明确地定义用户角色,把Web创作和治理权限赋予用户或用户组时必然要审慎。为每一个帐户设置繁杂的密码,不要让一个以上的用户共用同一个帐户。为防止暴力破解,最好将Administrator帐户改成不易预测的名字。

㈡ 设置适当的NTFS权限。确保FrontPage Web网站的根目录没有从它的父目录承袭权限,确保匿名用户帐户不具有写入任何网站的权限。取消_vti_bin的子目录的运行权限,然后将各个要运行的文件标记为可运行,这样,FrontPage Server Extensions的二进制文件仍能正常运行,但禁止了后来放入该目录的文件运行,别的,对付匿名用户,该当明确地禁止其写入FrontPage Server Extensions二进制文件目录的权限。

㈢ 改动HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\Web Server Extensions\All Ports注册键。表一供给了保举的取值。

表一:保举的注册键值

㈣ 及时安装补丁。只管即便应用最新的FrontPage Server Extensions版本,及时安装操作系统的Service Pack和Hotfix。FrontPage Server Extensions 2000的更新文件包孕在Windows 2000的Service Pack之中,但FrontPage Server Extensions 2002的补丁必要零丁下载。

㈤ 如有可能,经由过程SSL连接取得FrontPage Server Extensions的创作和治理授权。

您可能还会对下面的文章感兴趣: