建站
咨詢
售后
建站咨詢
新聞中心
安全研究人員發(fā)現(xiàn)，通過使用Windows命令行使用程序(可追溯到Windows XP)，基于Windows AppLocker的應用白名單保護可以被繞過。當結合托管在遠程主機上的腳本時，這個漏洞可允許攻擊者運行不在Windows AppLocker白名單中的軟件。
站在用戶的角度思考問題，與客戶深入溝通，找到雜多網(wǎng)站設計與雜多網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗，讓設計與互聯(lián)網(wǎng)技術結合，創(chuàng)造個性化、用戶體驗好的作品，建站類型包括：網(wǎng)站設計、成都網(wǎng)站設計、企業(yè)官網(wǎng)、英文網(wǎng)站、手機端網(wǎng)站、網(wǎng)站推廣、域名注冊、虛擬空間、企業(yè)郵箱。業(yè)務覆蓋雜多地區(qū)。
根據(jù)微軟表示，這個使用程序Regsvr32主要用于“注冊和注銷OLE(對象鏈接和嵌入)空間，例如(動態(tài)鏈接庫)以及Windows注冊表中的ActiveX控制?！钡芯咳藛TCasey Smith報道稱，該命令可指向一個URL，而不是本地腳本;在該URL托管的腳本將會執(zhí)行，繞過Windows AppLocker白名單限制。
“令人驚奇的是，Regsvr32已經(jīng)是代理服務器感知，使用傳輸層安全，遵循重定向等，”Smith寫道，并指出該使用程序還是“一個簽名的默認MS二進制”，這意味著利用該漏洞可簡化任何攻擊。
RSA公司營銷總監(jiān)Robert Sadowski表示：“這項技術在熟練的攻擊者手里可能很危險?！?/p>
“攻擊者將需要訪問受害者的機器，但不需要具有管理員權限，”Sadowski表示，“他們能夠運行被阻止的腳本，而這本應被AppLocker的腳本阻止功能所阻攔。”
Smith的概念證明腳本表明這種攻擊具有破壞的潛力，Sadowski稱這可用于網(wǎng)絡釣魚或路過式漏洞利用。他表示：“而且這種攻擊難以檢測;它直接通過內(nèi)置Windows命令來執(zhí)行，唯一的蹤跡是IE瀏覽器中一個緩存文件，Windows注冊表中沒有任何蹤跡?！?/p>
自動威脅管理供應商Vectra公司首席安全官Gunter Ollmann表示：“Windows AppLocker繞過攻擊是傳統(tǒng)代碼和向后兼容功能被攻擊者利用以攻擊較新的安全措施的一個較為有趣的例子?！?/p>
Ollmann稱：“對于任何經(jīng)驗豐富的系統(tǒng)管理員而言，類似這樣的繞過攻擊出現(xiàn)在任何基于主機的攔截技術中并不奇怪。這個被遺忘的MS-DOS命令行功能和注冊表操縱一直是安全人員的噩夢。”
“如果你有安裝Windows AppLocker來阻止入侵或惡意軟件感染，這可能是非常危險的漏洞，如果沒有得到修復，這會帶來很大的風險，”托管安全服務提供商Rook Security公司安全工程師兼取證分析師Daniel Ford表示，“對應用采用白名單技術并阻止其他未經(jīng)授權應用是很多企業(yè)采用的保護措施。如果你安裝了Windows AppLocker來抵御惡意軟件滲出數(shù)據(jù)，那么這個漏洞可被用來繞過這種保護。”
Ford建議不要依靠Windows AppLocker，“請確保部署多層安全措施，例如更新的防病毒、IDS/IPS(入侵檢測系統(tǒng)/入侵防御系統(tǒng))、防火墻和其他安全工具。當這個漏洞的補丁推出時，最好馬上安裝它?！?/p>
現(xiàn)在保護環(huán)境的最簡單方法是在防火墻級別阻止Regsvr32，拒絕它訪問互聯(lián)網(wǎng)。
文章標題：Windows現(xiàn)漏洞 可繞過AppLocker白名單實施攻擊
文章來源：http://m.5511xx.com/article/dpogepj.html
