威脅響應：Windows HTTP.sys遠程代碼執行漏洞跟蹤進展
2015-04-16
2015.04.15夜，綠盟科技在官方微博發布了此漏洞通告，公告編號：Alert2015-04，CVE ID：CVE-2015-1635，受此漏洞影響的軟件及系統包括：
Microsoft Windows Server 2012 R2
Microsoft Windows Server 2012
Microsoft Windows Server 2008 R2 SP1
Microsoft Windows 8.1
Microsoft Windows 8
Microsoft Windows 7 SP1
解決辦法
- 請所有使用如上系統的用戶盡快升級補丁
廠商已在安全公告MS15-034中修復了此安全漏洞。我們建議用戶開啟自動更新服務以及時安裝最新補丁，補丁可以通過Windows update在線獲得。相關公告請見如下鏈接：
http://technet.microsoft.com/security/bulletin/MS15-034
如果您的業務系統暫時還無法升級補丁，那么可通過禁用IIS 內核緩存來臨時緩解此漏洞的危險，雖然這可能會導致IIS性能下降，但總比出安全事故的好啊，具體的執行方法可以參考如下鏈接：
https://technet.microsoft.com/zh-cn/library/cc731903(v=ws.10).aspx - 請所有使用綠盟科技產品的客戶盡快升級產品規則
綠盟科技已在軟件升級公告中提供規則升級包，NIPS、WAF、RSAS、WVSS、NF的用戶請盡快升級最新規則，規則可以通過產品界面的在線升級進行。
如果您的業務系統暫時還無法升級規則包，那么可以在軟件升級頁面中，找到對應的產品，通過下載升級包，以離線方式進行升級。具體公告請參考如下鏈接：
http://update.nsfocus.com/
http.sys的重要性解讀
Http.sys是Microsoft Windows處理HTTP請求的內核驅動程序。HTTP.sys會錯誤解析某些特殊構造的HTTP請求，導致遠程代碼執行漏洞。成功利用此漏洞后，攻擊者可在System賬戶上下文中執行任意代碼。由于此漏洞存在于內核驅動程序中，攻擊者也可以遠程導致操作系統藍屏?？纯聪聢D你就會了解到http.sys的重要性。
此次受影響的系統中，Windows 7、Windows 8、Windows Server 2008 R2 和 Windows Server 2012所帶的HTTP.sys驅動均存在一個遠程代碼執行漏洞，遠程攻擊者可以通過IIS 7（或更高版本）服務將惡意的HTTP請求傳遞給HTTP.sys驅動，通過發送惡意的HTTP請求導致遠程代碼執行或操作系統藍屏。這種利用方式相當容易，目前已經有可遠程觸發操作系統藍屏的攻擊代碼流傳。
小貼士：如何確定自己的電腦上IIS是否啟用？
- Winkey+R打開運行對話框，輸入services.msc回車，打開服務管理窗口，查看是否存在World Wide Web Publishing Service，如果服務狀態是啟用，表明IIS已經啟用。
威脅情報
Threat intelligence 威脅情報無論對于解決傳統安全或者APT攻擊來說都是重要的手段之一，而隨著0day漏洞頻出，威脅情報的獲取及響應都體現了防御能力的建設程度，而且這些能力建設需要不斷的累積，從知識庫到團隊，從響應到分析到前瞻性預測，安全威脅情報市場已經逐步形成，這些情報將會以各種形式交付給企業和組織，成為其安全防御必不可少的一環。
威脅情報服務體系至少包含了威脅監測及響應、數據分析及整理、業務情報及交付、風險評估及咨詢、安全托管及應用等各個方面，涉及研究、產品、服務、運營及營銷的各個環節，綠盟科技威脅響應體系已經具備了這些要素，在不同的行業中向企業和組織持續服務，保障客戶業務的順暢運行。
Security+報告
另一方面，綠盟科技研究院也會長年跟蹤分析這些威脅，將情報整理匯總并進行深入解讀形成各種報告，大家平時看到的Security+系列就是這些報告的呈現，大家可以在綠盟科技官方網站、各類傳統及社交媒體、售前售后服務、直郵刊物及郵件、市場活動及交流中獲取它們，如果您還沒有獲取到這些報告，可以隨時通過在微博、微信中搜索綠盟科技聯系我們，歡迎您的垂詢！
