1、CGI 安全漏洞资料速查 日期：2003年10月10日 类型：攻击型 名字：phf 风险等级：中 描述：在 NCSA 或者 Apache(1.1.1版本以内)非商业版本的 WebServer 中 有一段程序 util.c,允许黑客以 root 身份执行任何一个指令: http:/ 建议：无 解决方法：把 Apache Webserver 升级到 1.1.1 以上，或者将 NCSA Webserver 升级到最新版本 类型：攻击型 名字：wguset.exe 风险等级：中 描述：如果您使用 NT 做为您的 WebServer 的操作系统，而且 wguest.exe 存 在于您的 Web 可执行目
2、录中的话，入侵者将能利用它阅读到您的硬 盘上所有 USR_ 用户能阅读的文件 建议：将 wguset.exe 从你的 Web 目录移走或删除 解决方法：将 wguset.exe 从你的 Web 目录移走或删除 类型：攻击型 名字：rguset.exe 风险等级：中 描述：如果您使用 NT 做为您的 WebServer 的操作系统，而且 rguest.exe 存 在于您的 Web 可执行目录中的话，入侵者将能利用它阅读到您的硬 盘上所有 USR_ 用户能阅读的文件 建议：将 rguset.exe 从你的 Web 目录移走或删除 解决方法：将 rguset.exe 从你的 Web 目录移走或删除
3、类型：攻击型 名字：perl.exe 风险等级：低 描述：在cgi-bin 执行目录下存 在perl.exe,这属于严重的配置错误。黑客 可以在 perl.exe 后面加一串指令，利用浏览器在 server 上执行任何 脚本程序 建议：perl.exe 是放在任何带执行权限的 web 目录下都是不安全的 解决方法：在 web 目录下移除 perl.exe 这个程序. 类型：攻击型 名字：shtml.exe 风险等级：低 描述：如果您使用 FrontPage 作为您的 WebServer，那么入侵者能够利用 IUSR_ 用户和 shtml.exe 入侵您的机器，做您不希望的事 建议：将 shtm
4、l.exe 从你的 Web 目录移走或删除 解决方法：将 shtml.exe 从你的 Web 目录移走或删除 类型：攻击型 名字：wwwboard.pl 风险等级：低 描述：wwwboard.pl 程序容易引起攻击者对服务器进行 D.O.S 攻击 建议：如无必要可以删除该文件 解决方法：对 get_variables 的子程序中的下面这段: if($FORMfollowup)$followup=1; followup_num=split(/,/,$FORMfollowup); $num_followups=followups=followup_num;$last_message=pop(fol
5、lowups);$origdate=$FORMorigdate; $origname=$FORMorigname; $origsubject=$FORMorigsubject; 替换为: if($FORMfollowup) $followup=1; followup_num=split(/,/,$FORMfollowup); $num_followups=followups=followup_num; $last_message=pop(followups); $origdate=$FORMorigdate; $origname=$FORMorigname; $origsubject=$FOR
6、Morigsubject; #WWWBoardBombPatch #WrittenBy:SamuelSparlingsparling) $fn=0; while($fn=0) #endif s=getenv(REDIRECT_STATUS); if(!s) puts(Content-type:text/plainrnrnPHP/FIdetected aninternalerror.Pleaseinformsaofwhat youjustdid.n); exit(1); s=getenv(PATH_TRANSLATED); 类型：攻击型 名字：view-source 风险等级：高 描述：在cgi
7、-bin目录下的view-source程序没有对输入进行安全检查，使 入侵者可以查看服务器上的任何文件 建议：建议审核cgi-bin目录，避免有不必要的程序存在 解决方法：删除/cgi-bin目录下的viewsource程序 类型：攻击型 名字：campas 风险等级：高 描述：在cgi-bin目录下的campas程序有一个毛病可以使入侵者随意查看 server上的重要文件: 80 Trying200.xx.xx.xx. C Escapecharacteris. GET/cgi-bin/campas?%0acat%0a/etc/passwd%0a 建议：建议审核cgi-bin目录，避免有不必要
8、的程序存在 解决方法：删除/cgi-bin目录下的campas程序 类型：攻击型 名字：aglimpse 风险等级：高 描述：在cgi-bin目录下的aglimpse程序有一个毛病可以使入侵者无须登 录而随意执行任何指令 建议：建议审核cgi-bin目录，避免有不必要的程序存在 解决方法：删除/cgi-bin目录下的aglimpse程序 类型：攻击型 名字：AT-admin.cgi 风险等级：中 描述：在ExciteforWebServers1.1上的/cgi-bin/AT-admin.cgi程序，允 许普通用户完全控制整个系统 建议：建议审核cgi-bin目录，避免有不必要的程序存在 解决方
9、法：删除/cgi-bin目录下的AT-admin.cgi程序 类型：攻击型 名字：finger 风险等级：中 描述：这个位于/cgi-bin下的finger程序，可以查看其它服务器的信息， 但是如果将参数改成本机，本机上的帐号信息将暴露无遗: /cgi-bin/finger?localhost 建议：建议审核cgi-bin目录，避免有不必要的程序存在 解决方法：删除/cgi-bin目录下的finger程序 类型：攻击型 名字：webwho.pl 风险等级：中 描述：如果在您的Web可执行目录中有webwho.pl这个CGI脚本，那么入侵 者将能利用他阅读启动Web的用户能读写执行的任何文件。
10、建议：将webwho.pl从您的Web目录中删除或移走 解决方法：将webwho.pl从您的Web目录中删除或移走 类型：攻击型 名字：w3-msql 风险等级：低 描述：MiniSQL 软件包发行版本附带的一个 CGI（w3-msql）可被用于以 httpd 的 uid 权限执行任意代码。这个安全漏洞是由程序中的 scanf() 函数引起的。 建议：如果您安装了 MiniSQL 软件包,请您将 /cgi-bin/ 目录下的 w3-msql文件删除或移走解决方法：如果您安装了MiniSQL软件包,请您将/cgi-bin/目录下的w3-msql 文件删除或移走，或使用以下补丁。 补丁： -w3-
11、msql.patch- 410c410 scanf(%s,boundary); - 418c418 strcat(var,buffer);strncat(var,buffer,sizeof(buffer); 428c428 -w3-msql.patch- 类型：攻击型 名字：NetscapeFastTrackserver2.0.1a 风险等级：中 描述：UnixWare7.1附带的NetscapeFastTrackserver2.0.1a存在一个远程 缓冲区溢出漏洞。缺省地，监听457端口的httpd通过http协议提供 UnixWare文档。如果向该服务器传送一个长度超过367字符的GET请
12、 求，会使缓冲区溢出，EIP值被覆盖将可能导致任意代码以httpd权 限执行。 建议：临时解决方法是关闭NetscapeFastTrack服务器 解决方法：临时解决方法是关闭NetscapeFastTrack服务器。 类型：攻击型 名字：AnyForm.cgi 风险等级：高 描述：位于cgi-bin目录下的AnyForm.cgi程序，是用于简单表单通过邮件 传递响应的,但该程序对用户输入检查不彻底，可被入侵者利用， 在server上执行任何指令. 建议：建议审核cgi-bin目录，避免有不必要的程序存在 解决方法：建议升级该cgi程序,或者删除该文件 类型：攻击型 名字：whois.cgi 风
13、险等级：低 描述：在多个WebServer中带有的Whois.cgi存在溢出漏洞。它们包括： WhoisInternicLookup-version:1.02 CCWhois-Version:1.0 MattsWhois-Version:1 他们将使入侵者能够在您的系统上使用启动httpd用户的权限执行任 意的代码 建议：将在您Web目录中问whois.cgi删除或移走 解决方法：将在您Web目录中问whois.cgi删除或移走 类型：攻击型 名字：environ.cgi 风险等级：中 描述：在Apachewebserver或者IIS等其它webserver的/cgi-bin/environ.
14、cgi 程序,有一个毛病允许入侵者绕过安全机制，浏览服务器上的一些 文件。 建议：建议审核cgi-bin目录，避免有不必要的程序存在 解决方法：建议升级该cgi程序,或者删除该文件 类型：攻击型 名字：wrap 风险等级：中 描述：/cgi-bin/wrap程序有两个漏洞，均允许入侵者获取服务器上文件 的非法访问,如: http:/host/cgi-bin/wrap?/./././././etc 建议：建议审核cgi-bin目录，避免有不必要的程序存在 解决方法：删除/cgi-bin/wrap文件 类型：攻击型 名字：edit.pl 风险等级：中 描述：/cgi-bin/edit.pl有一个安
15、全弱点,用下面这条命令就可以访问用 户的配置情况: 建议：建议审核cgi-bin目录，避免有不必要的程序存在 解决方法：删除/cgi-bin/edit.pl文件 类型：攻击型 名字：service.pwd 风险等级：中 描述：UNix系统的 将暴露用户密码信息 建议：建议删除 解决方法：chownrootservice.pwdchmod700service.pwd 类型：攻击型 名字：administrators.pwd 风险等级：中 描述：UNix系统的 可读,将暴露用户密码信息 建议：建议删除 解决方法：chownrootadministrators.pwdchmod700administ
16、rators.pwd 相关连接： 类型：攻击型 名字：users.pwd 风险等级：中 描述：UNix系统的 将暴露用户密码信息 建议：建议删除 解决方法：chownrootusers.pwdchmod700users.pwd 类型：攻击型 名字：authors.pwd 风险等级：中 描述：UNix系统的 将暴露用户密码信息 建议：建议删除 解决方法：chownrootauthors.pwdchmod700authors.pwd 类型：攻击型 名字：visadmin.exe 风险等级：中 描述：在OmniHTTPdWebServer的cgi-bin目录下存在这个文件visadmin.exe，
17、那么攻击者只要输入下面的命令: http:/omni.server/cgi-bin/visadmin.exe?user=guest数分钟之 后服务器的硬盘将会被撑满 建议：建议删除 解决方法：把visadmin.exe从cgi-bin目录中删除 类型：攻击型 名字：get32.exe 风险等级：高 描述：Alibaba的webserver,其cgi-bin目录存在get32.exe这个程序，允 许入侵者任意执行一条指令: 建议：建议删除 解决方法：把GET32.exe从cgi-bin目录中删除 类型：攻击型 名字：alibaba.pl 风险等级：高 描述：Alibaba的webserver,其
18、cgi-bin目录存在alibaba.pl这个程序，允 许入侵者任意执行一条指令: 建议：建议删除 解决方法：把alibaba.pl从cgi-bin目录中删除 类型：攻击型 名字：tst.bat 风险等级：高 描述：Alibaba的webserver,其cgi-bin目录存在tst.bat这个程序，允许 入侵者任意执行一条指令: 建议：建议删除 解决方法：把tst.bat从cgi-bin目录中删除 类型：攻击型 名字：fpcount.exe 风险等级：低 描述：如果您使用NT作为您的WebServer的操作平台，并只安装了SP3补丁， 那么入侵者能利用这个CGI程序进行DoS攻击，使您的IIS
19、服务拒绝 访问。 建议：将在您Web目录中的fpcount.exe删除或移走 解决方法：将在您Web目录中的fpcount.exe删除或移走 类型：攻击型 名字：openfile.cfm 风险等级：低 描述：如果在您的Web目录中含有 /cfdocs/expeval/exprcalc.cfm /cfdocs/expeval/sendmail.cfm /cfdocs/expeval/eval.cfm /cfdocs/expeval/openfile.cfm /cfdocs/expeval/displayopenedfile.cfm /cfdocs/exampleapp/email/getfile
20、.cfm /cfdocs/exampleapp/publish/admin/addcontent.cfm 这些文件，那么入侵者可能能够利用它们读到您系统上的所有文件 建议：将在您Web目录中的openfile.cfm删除或移走 解决方法：将在您Web目录中的openfile.cfm删除或移走 类型：攻击型 名字：exprcalc.cfm 风险等级：低 描述：如果在您的Web目录中含有 /cfdocs/expeval/exprcalc.cfm /cfdocs/expeval/sendmail.cfm /cfdocs/expeval/eval.cfm /cfdocs/expeval/openfil
21、e.cfm /cfdocs/expeval/displayopenedfile.cfm /cfdocs/exampleapp/email/getfile.cfm /cfdocs/exampleapp/publish/admin/addcontent.cfm 这些文件，那么入侵者可能能够利用它们读到您系统上的所有文件 建议：将在您Web目录中的exprcalc.cfm删除或移走 解决方法：将在您Web目录中的exprcalc.cfm删除或移走 相关连接： 类型：攻击型 名字：displayopenedfile.cfm 风险等级：低 描述：如果在您的Web目录中含有 /cfdocs/expeval
22、/exprcalc.cfm /cfdocs/expeval/sendmail.cfm /cfdocs/expeval/eval.cfm /cfdocs/expeval/openfile.cfm /cfdocs/expeval/displayopenedfile.cfm /cfdocs/exampleapp/email/getfile.cfm /cfdocs/exampleapp/publish/admin/addcontent.cfm 这些文件，那么入侵者可能能够利用它们读到您系统上的所有文件 建议：将在您Web目录中的displayopenedfile.cfm删除或移走 解决方法：将在您We
23、b目录中的displayopenedfile.cfm删除或移走 类型：攻击型 名字：sendmail.cfm 风险等级：中 描述：将在您Web目录中的openfile.cfm删除或移走 在多个WebServer中带有的Whois.cgi存在溢出漏洞。它们包括： WhoisInternicLookup-version:1.02 CCWhois-Version:1.0 MattsWhois-Version:1 他们将使入侵者 能够在您的系统上使用启动httpd用户的权限执行任意的代码 如果在您的Web目录中含有 /cfdocs/expeval/exprcalc.cfm /cfdocs/expeva
24、l/sendmail.cfm /cfdocs/expeval/eval.cfm /cfdocs/expeval/openfile.cfm /cfdocs/expeval/displayopenedfile.cfm /cfdocs/exampleapp/email/getfile.cfm /cfdocs/exampleapp/publish/admin/addcontent.cfm 这些文件，那么入侵者可能能够利用它们读到您系统上的所有文件 建议：将在您Web目录中的sendmail.cfm删除或移走 解决方法：将在您Web目录中的sendmail.cfm删除或移走 类型：攻击型 名字：code
25、brws.asp 风险等级：中 描述：如果您使用NT+IIS作为您的WebServer的情况下，入侵者能够利用 这个ASP查看您系统上所有启动httpd用户有权限阅读的文件请前往 以下地址查询补丁InternetInformationServer: ftp:/ Viewcode-fix/ SiteServer: ftp:/ usa/siteserver3/hotfixes-postsp2/Viewcode-fix/ 建议：将在您Web目录中的codebrws.asp删除或移走 解决方法：将在您Web目录中的codebrws.asp删除或移走 类型：信息型 名字：codebrws.asp_1 风
26、险等级：中 描述：在/iissamples/exair/howitworks/下面存在codebrws.asp文件， 用下面的路径： source=/index.asp就可以查看到index.asp的源码。实际上任何 ascii文件都可以浏览。 建议：删除名叫/iissamples/的web目录 解决方法：将在您Web目录中的codebrws.asp删除或移走 请前往以下地址查询补丁 InternetInformationServer: ftp:/ . s/usa/Viewcode-fix/ SiteServer: ftp:/ siteserver3/hotfixes-postsp2/Viewcode-fix/ 相关连接：ftp:/ usa/Viewcode-fix/ 类型：攻击型 名字：showcode.asp_1 风险等级：中 描述：在/msads/Samples/SELECTOR/目录下存在showcode.asp文件,用下 面的路径: msadc/Samples/./././././boot.ini 可以查到boot.ini文件的内容;实际上入侵
