cgi 安全漏洞资料速查.txt

黑客的指令

描述：MiniSQL 软件包发行版本附带的一个 CGI（w3-msql）可被用于以 
　　　httpd 的 uid 权限执行任意代码。这个安全漏洞是由程序中的 
scanf() 函数引起的。 
建议：如果您安装了 MiniSQL 软件包,请您将 /cgi-bin/ 目录下的 w3-msql
文件删除或移走
解决方法：如果您安装了MiniSQL软件包,请您将/cgi-bin/目录下的w3-msql 
　　　　　文件删除或移走，或使用以下补丁。 

补丁： 
------w3-msql.patch--------- 

410c410 
scanf(\"%s\",boundary); <br>--- 
<scanf(\"%128s\",boundary);>
418c418 
<strcat(var,buffer);
<strncat(var,buffer,sizeof(buffer)); 
428c428 
<scanf(\"Content-Type:%s\",buffer);>
<scanf(\"Content-Type:%15360s\",buffer);> 

------w3-msql.patch--------- 

类型：攻击型 
名字：NetscapeFastTrackserver2.0.1a 
风险等级：中 
描述：UnixWare7.1附带的NetscapeFastTrackserver2.0.1a存在一个远程 
　　　缓冲区溢出漏洞。缺省地，监听457端口的httpd通过http协议提供 
　　　UnixWare文档。如果向该服务器传送一个长度超过367字符的GET请 
　　　求，会使缓冲区溢出，EIP值被覆盖将可能导致任意代码以httpd权 
　　　限执行。 
建议：临时解决方法是关闭NetscapeFastTrack服务器 
解决方法：临时解决方法是关闭NetscapeFastTrack服务器。 

类型：攻击型 
名字：AnyForm.cgi 
风险等级：高 
描述：位于cgi-bin目录下的AnyForm.cgi程序，是用于简单表单通过邮件 
　　　传递响应的,但该程序对用户输入检查不彻底，可被入侵者利用， 
　　　在server上执行任何指令. 
建议：建议审核cgi-bin目录，避免有不必要的程序存在 
解决方法：建议升级该cgi程序,或者删除该文件 

类型：攻击型 
名字：whois.cgi 
风险等级：低 
描述：在多个WebServer中带有的Whois.cgi存在溢出漏洞。它们包括： 
WhoisInternicLookup-version:1.02 
CCWhois-Version:1.0 
Matt\'sWhois-Version:1 
　　他们将使入侵者能够在您的系统上使用启动httpd用户的权限执行任 
意的代码 
建议：将在您Web目录中问whois.cgi删除或移走 
解决方法：将在您Web目录中问whois.cgi删除或移走 

类型：攻击型 
名字：environ.cgi 
风险等级：中 
描述：在Apachewebserver或者IIS等其它webserver的/cgi-bin/environ.cgi 
　　　程序,有一个毛病允许入侵者绕过安全机制，浏览服务器上的一些 
　　　文件。 
建议：建议审核cgi-bin目录，避免有不必要的程序存在 
解决方法：建议升级该cgi程序,或者删除该文件 

类型：攻击型 
名字：wrap 
风险等级：中 
描述：/cgi-bin/wrap程序有两个漏洞，均允许入侵者获取服务器上文件 
　　　的非法访问,如: 
　　　http://host/cgi-bin/wrap?/../../../../../etc 
建议：建议审核cgi-bin目录，避免有不必要的程序存在 
解决方法：删除/cgi-bin/wrap文件 

类型：攻击型 
名字：edit.pl 
风险等级：中 
描述：/cgi-bin/edit.pl有一个安全弱点,用下面这条命令就可以访问用 
　　　户的配置情况: 
　http://www.sitetracker.com/cgi-bin/edit.pl?account=&password= 
建议：建议审核cgi-bin目录，避免有不必要的程序存在 
解决方法：删除/cgi-bin/edit.pl文件 

类型：攻击型 
名字：service.pwd 
风险等级：中 
描述：UNix系统的http://www.hostname.com/_vti_pvt/service.pwd可读， 
　　　将暴露用户密码信息 
建议：建议删除 
解决方法：chownrootservice.pwd　chmod700service.pwd 

类型：攻击型 
名字：administrators.pwd 
风险等级：中 
描述：UNix系统的http://www.hostname.com/_vti_pvt/administrators.pwd 
　　　可读,将暴露用户密码信息 
建议：建议删除 
解决方法：chownrootadministrators.pwd　chmod700administrators.pwd 
相关连接：　 

类型：攻击型 
名字：users.pwd 
风险等级：中 
描述：UNix系统的http://www.hostname.com/_vti_pvt/users.pwd可读， 
　　　将暴露用户密码信息 
建议：建议删除 
解决方法：chownrootusers.pwd　chmod700users.pwd 

类型：攻击型 
名字：authors.pwd 
风险等级：中 
描述：UNix系统的http://www.hostname.com/_vti_pvt/authors.pwd可读， 
　　　将暴露用户密码信息 
建议：建议删除 
解决方法：chownrootauthors.pwd　chmod700authors.pwd 

类型：攻击型 
名字：visadmin.exe 
风险等级：中 
描述：在OmniHTTPdWebServer的cgi-bin目录下存在这个文件visadmin.exe， 
　　　那么攻击者只要输入下面的命令: 
　　　http://omni.server/cgi-bin/visadmin.exe?user=guest数分钟之 
　　　后服务器的硬盘将会被撑满 
建议：建议删除 
解决方法：把visadmin.exe从cgi-bin目录中删除 

类型：攻击型 
名字：get32.exe 
风险等级：高 
描述：Alibaba的webserver,其cgi-bin目录存在get32.exe这个程序，允 
　　　许入侵者任意执行一条指令: 
http://www.victim.com/cgi-bin/get32.exe|echo%20>c:\\command.com 
建议：建议删除 
解决方法：把GET32.exe从cgi-bin目录中删除 

类型：攻击型 
名字：alibaba.pl 
风险等级：高 
描述：Alibaba的webserver,其cgi-bin目录存在alibaba.pl这个程序，允 
　　　许入侵者任意执行一条指令: 
　　　http://www.victim.com/cgi-bin/alibaba.pl|dir 
建议：建议删除 
解决方法：把alibaba.pl从cgi-bin目录中删除 

类型：攻击型 
名字：tst.bat 
风险等级：高 
描述：Alibaba的webserver,其cgi-bin目录存在tst.bat这个程序，允许 
　　　入侵者任意执行一条指令: 
http://www.victim.com/cgi-bin/tst.bat|type%20c:\\windows\\win.ini 
建议：建议删除 
解决方法：把tst.bat从cgi-bin目录中删除 

类型：攻击型 
名字：fpcount.exe 
风险等级：低 
描述：如果您使用NT作为您的WebServer的操作平台，并只安装了SP3补丁， 
　　　那么入侵者能利用这个CGI程序进行DoS攻击，使您的IIS服务拒绝 
　　　访问。 
建议：将在您Web目录中的fpcount.exe删除或移走 
解决方法：将在您Web目录中的fpcount.exe删除或移走 

类型：攻击型 
名字：openfile.cfm 
风险等级：低 
描述：如果在您的Web目录中含有 
　　　/cfdocs/expeval/exprcalc.cfm 
　　　/cfdocs/expeval/sendmail.cfm 
　　　/cfdocs/expeval/eval.cfm 
　　　/cfdocs/expeval/openfile.cfm 
　　　/cfdocs/expeval/displayopenedfile.cfm 
　　　/cfdocs/exampleapp/email/getfile.cfm 
　　　/cfdocs/exampleapp/publish/admin/addcontent.cfm 
　　这些文件，那么入侵者可能能够利用它们读到您系统上的所有文件 
建议：将在您Web目录中的openfile.cfm删除或移走 
解决方法：将在您Web目录中的openfile.cfm删除或移走 

类型：攻击型 
名字：exprcalc.cfm 
风险等级：低 
描述：如果在您的Web目录中含有 
　　　/cfdocs/expeval/exprcalc.cfm 
　　　/cfdocs/expeval/sendmail.cfm 
　　　/cfdocs/expeval/eval.cfm 
　　　/cfdocs/expeval/openfile.cfm 
　　　/cfdocs/expeval/displayopenedfile.cfm 
　　　/cfdocs/exampleapp/email/getfile.cfm 
　　　/cfdocs/exampleapp/publish/admin/addcontent.cfm 
　　这些文件，那么入侵者可能能够利用它们读到您系统上的所有文件 
建议：将在您Web目录中的exprcalc.cfm删除或移走 
解决方法：将在您Web目录中的exprcalc.cfm删除或移走 
相关连接：http://www.allaire.com/handlers/index.cfm?ID=8727&Method=Full 

类型：攻击型 
名字：displayopenedfile.cfm 
风险等级：低 
描述：如果在您的Web目录中含有 
　　　/cfdocs/expeval/exprcalc.cfm 
　　　/cfdocs/expeval/sendmail.cfm 
　　　/cfdocs/expeval/eval.cfm 
　　　/cfdocs/expeval/openfile.cfm 
　　　/cfdocs/expeval/displayopenedfile.cfm 
　　　/cfdocs/exampleapp/email/getfile.cfm 
　　　/cfdocs/exampleapp/publish/admin/addcontent.cfm 
　　这些文件，那么入侵者可能能够利用它们读到您系统上的所有文件 
建议：将在您Web目录中的displayopenedfile.cfm删除或移走 
解决方法：将在您Web目录中的displayopenedfile.cfm删除或移走 

类型：攻击型 
名字：sendmail.cfm 
风险等级：中 
描述：将在您Web目录中的openfile.cfm删除或移走 
　　　在多个WebServer中带有的Whois.cgi存在溢出漏洞。它们包括： 
　　　WhoisInternicLookup-version:1.02 
　　　CCWhois-Version:1.0 
　　　Matt\'sWhois-Version:1 
　　　他们将使入侵者 
　　　能够在您的系统上使用启动httpd用户的权限执行任意的代码 
　　　如果在您的Web目录中含有 
　　　/cfdocs/expeval/exprcalc.cfm 
　　　/cfdocs/expeval/sendmail.cfm 
　　　/cfdocs/expeval/eval.cfm 
　　　/cfdocs/expeval/openfile.cfm 
　　　/cfdocs/expeval/displayopenedfile.cfm 
　　　/cfdocs/exampleapp/email/getfile.cfm 
　　　/cfdocs/exampleapp/publish/admin/addcontent.cfm 
　　这些文件，那么入侵者可能能够利用它们读到您系统上的所有文件 
建议：将在您Web目录中的sendmail.cfm删除或移走 
解决方法：将在您Web目录中的sendmail.cfm删除或移走 

类型：攻击型 
名字：codebrws.asp 
风险等级：中 
描述：如果您使用NT+IIS作为您的WebServer的情况下，入侵者能够利用 
　　　这个ASP查看您系统上所有启动httpd用户有权限阅读的文件请前往 
　　　以下地址查询补丁InternetInformationServer: 
　　　ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/usa/ 
　　　Viewcode-fix/ 
　　　SiteServer: 
　　　ftp://ftp.microsoft.com/bussys/sitesrv/sitesrv-public/fixes/ 
　　　usa/siteserver3/hotfixes-postsp2/Viewcode-fix/ 
　　　http://www.microsoft.com/security/products/iis/checklist.asp 
建议：将在您Web目录中的codebrws.asp删除或移走 
解决方法：将在您Web目录中的codebrws.asp删除或移走 

类型：信息型 
名字：codebrws.asp_1 
风险等级：中 
描述：在/iissamples/exair/howitworks/下面存在codebrws.asp文件， 
　　　用下面的路径： 
　　　http://www.xxx.com/iissamples/exair/howitworks/codebrws.asp? 
　　　source=/index.asp就可以查看到index.asp的源码。实际上任何 
　　　ascii文件都可以浏览。 
建议：删除名叫/iissamples/的web目录 
解决方法：将在您Web目录中的codebrws.asp删除或移走 
请前往以下地址查询补丁 
InternetInformationServer: 
ftp://ftp.microsoft.com/bussys/i ... s/usa/Viewcode-fix/ 
SiteServer: 
ftp://ftp.microsoft.com/bussys/sitesrv/sitesrv-public/fixes/usa/ 
siteserver3/hotfixes-postsp2/Viewcode-fix/ 
http://www.microsoft.com/security/products/iis/checklist.asp 
相关连接：ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/ 
usa/Viewcode-fix/ 

类型：攻击型 
名字：showcode.asp_1 
风险等级：中 
描述：在/msads/Samples/SELECTOR/目录下存在showcode.asp文件,用下 
　　　面的路径: 
http://www.xxx.com/msadc/Samples/SELECTOR/showcode.asp?source=/ 
msadc/Samples/../../../../../boot.ini 

　　可以查到boot.ini文件的内容;实际上入侵者能够利用这个ASP查看您 
系统上所有启动httpd用户有权限阅读的文件 

建议：禁止对/msads目录的匿名访问 
解决方法：将在您Web目录中的showcode.asp删除或移走 
请前往以下地址查询补丁 
InternetInformationServer: 
ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/usa/ 
Viewcode-fix/ 
SiteServer: 
ftp://ftp.microsoft.com/bussys/sitesrv/sitesrv-public/fixes/usa/ 
siteserver3/hotfixes-postsp2/Viewcode-fix/ 
http://www.microsoft.com/security/products/iis/checklist.asp 
相关连接：ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/ 
usa/Viewcode-fix/ 

类型：攻击型 
名字：/msadc目录可以访问 
风险等级：中 
描述：WindowsNTIISserver下的/msadc目录可以访问，会造成一系列安全 
　　　问题，包括被入侵者非法调用应用程序 
建议：建议删除不必要的由IIS缺省安装形成的目录 
解决方法：禁止/msadc目录，如果必须打开该目录，至少应该设置成合法 
　　　　　用户需要密码才能访问 

类型：攻击型 
名字：search97.vts 
风险等级：中 
描述：这个文件将能使入侵者任意的读取你系统中启动httpd用户能读取 
　　　的文件 
建议：将在您Web目录中的search97.vts删除或移走 
解决方法：将在您Web目录中的search97.vts删除或移走,或前往以下地址 
　　　　　下载Patch 
　　　　　https://customers.verity.com/products/server/310/ 
　　　　　patches/ 

类型：攻击型 
名字：carbo.dll 
风险等级：低 
描述：如果您安装了SystemsrunningiCatSuiteversion3.0，那么它将自 
　　　动在你的系统上添加一个叫carbo.dll的文件，而入侵者将能利用 
　　　这个文件访问您系统上的热和文件