奇人網絡(www.qren.com) - Microsoft Windows文件保護數字簽名確認漏洞

      Microsoft Windows文件保護數字簽名確認漏洞
      發布于 2003-1-4 12:16:48 


      發布日期：2002-12-27
      更新日期：2003-01-02

      受影響系統：
      Microsoft Windows 2000 XP Professional SP1
      Microsoft Windows 2000 XP Professional
      Microsoft Windows 2000 XP Home SP1
      Microsoft Windows 2000 XP Home
      Microsoft Windows 2000 Terminal Services SP3
      Microsoft Windows 2000 Terminal Services SP2
      Microsoft Windows 2000 Terminal Services SP1
      Microsoft Windows 2000 Terminal Services
      Microsoft Windows 2000 Server SP3
      Microsoft Windows 2000 Server SP2
      Microsoft Windows 2000 Server SP1
      Microsoft Windows 2000 Server
      Microsoft Windows 2000 Professional SP3
      Microsoft Windows 2000 Professional SP2
      Microsoft Windows 2000 Professional SP1
      Microsoft Windows 2000 Professional
      Microsoft Windows 2000 Datacenter Server SP3
      Microsoft Windows 2000 Datacenter Server SP2
      Microsoft Windows 2000 Datacenter Server SP1
      Microsoft Windows 2000 Datacenter Server
      Microsoft Windows 2000 Advanced Server SP3
      Microsoft Windows 2000 Advanced Server SP2
      Microsoft Windows 2000 Advanced Server SP1
      Microsoft Windows 2000 Advanced Server
      描述：
      --------------------------------------------------------------------------------
      BUGTRAQ ID: 6842

      微軟的文件保護系統（WFP）是從Windows 2000開始提供的一種保護重要系統文件的機制，通過對文件數字簽名的驗證來確認文件未被改動。

      有人發現該機制在實現上存在一個安全問題，可導致文件保護失效。

      文件保護系統除了信任微軟預設的那些數字簽名證書外，也會信任任何根CA服務器發布的數字簽名證書，并賴以保護操作系統文件和設備驅動，所以，入侵者可以自建一個使用根CA數字簽名的的程序來欺騙文件保護系統。


      <*來源：Jason Coombs （jasonc@science.org）
      *>

      建議：
      --------------------------------------------------------------------------------
      臨時解決方法：

      如果您不能立刻安裝補丁或者升級，NSFOCUS建議您采取以下措施以降低威脅：

      * 
      如果懷疑系統已經被入侵，那么可以刪除所有信任的根CA證書，在微軟知識庫Q296241中詳細描述了該操作。如果Windows文件保護是必需的，應該運行SIGVERIF.EXE工具并輸出日志，應該注意的是入侵者也可能使用一個偽造的名稱，在這種情況下，使用文件的hash值校驗是唯一的發現惡意文件的方法，可以使用CHKTRUST.EXE工具（Windows 
      XP和Windows .NET包含該工具），該工具使用了WinTrust API，WinTrust只信任注冊表中指定的證書。

      廠商補丁：

      Microsoft
      ---------
      目前廠商還沒有提供補丁或者升級程序，我們建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本：

      http://www.microsoft.com/technet/security/


油條呀!收集整理  youtiaoya@sohu.com