深入解讀：Windows HTTP.sys遠程代碼執行漏洞跟蹤進展
2015-04-17
此次微軟公告MS15-034 IIS7 http.sys漏洞，引來業界的關注，其震蕩性不亞于Windows領域的心臟出血事件。綠盟科技威脅響應中心啟動緊急響應機制，在4月15日、4月16日分別發布緊急通告及產品規則升級通告，請受影響的用戶盡快升級廠商的補丁及綠盟科技產品規則包。
據綠盟科技互聯網廣譜平臺數據顯示，全球部署IIS的系統數量大概有444萬余，從目前受影響的IIS各版本分布統計數據來看，其中IIS 7.5部署量最大，占比42.3%，也是本次漏洞追蹤分析的重點。
經過綠盟科技研究院的深入分析，利用此漏洞的攻擊大致會有兩種形式：一種，攻擊門檻比較低，容易通過攻擊導致服務器系統藍屏；第二種，如果攻擊者的水平比較高，就可以控制內存，通過遠程執行代碼獲得對系統的完全控制。尤其是面臨高價值回報的攻擊目標時，發生的幾率就更高了，企業或組織的IT人員需要盡快考慮應對方案，避免在安全防御措施上線之前遭受攻擊。
據綠盟科技互聯網廣譜平臺數據顯示，全球部署IIS的系統數量大概有444萬余，從目前受影響的IIS各版本分布統計數據來看，其中IIS 7.5部署量最大，占比42.3%，也是本次漏洞追蹤分析的重點。
此次http.sys漏洞危害不可輕視，特別是一些大型的企業和組織，制定相關應對方案及執行措施需要一段時間，在此時間內建議按照如下步驟，以免在全面加固之前受到利用該漏洞的攻擊，遭受不必要的損失。建議http.sys漏洞應對方案如下：
- 盡快了解漏洞的相關信息，包括漏洞的影響范圍和深度；
- 使用工具對業務系統進行安全的、全面的掃描，以便為方案制定提供依據；
- 邀請漏洞相關廠商及安全廠商一起，從業務穩定性、危害程度和范圍及重要性等多個維度綜合考慮，制定整改時間計劃表和細化方案；
- 加固完成后，再次進行完整掃描、人工驗證整改加固結果，以及分析業務系統日志，識別加固期間是否遭受攻擊；
- 整體工作完成后，切記要進行總結和備案記錄，如果后續有需求，可以追溯及備查。
