Compartilhar via

Problemas de atualização com extensões do servidor FrontPage

  • Artigo

por Robert McMurray

Introdução

Ao atualizar um computador que esteja executando uma versão anterior do IIS para o Windows Vista® ou o Windows Server® 2008, os serviços Web do IIS serão desabilitados se as FPSE (Extensões do Servidor FrontPage) tiverem sido instaladas no computador. Esse comportamento é uma medida de segurança para impedir o acesso injustificado a arquivos em que o FPSE mantém metadados para seu site. As Extensões do FrontPage Server não foram atualizadas, mas estão disponíveis no IIS.NET para download, no Windows Vista e no Windows Server 2008. No entanto, os arquivos e pastas que contêm metadados e outras informações relacionadas ao conteúdo sobre seu site não serão removidos durante uma atualização. A finalidade deste artigo é discutir os vários arquivos e pastas que você deve remover ou proteger manualmente antes de habilitar os serviços Web em um servidor Web IIS 7.0 ou superior.

Observação

Este documento discute as possíveis ameaças às pastas e arquivos padrão que são criados e usados pelas Extensões do Servidor FrontPage. Se os administradores/autores estiverem modificando o conteúdo nesses arquivos e pastas, poderá haver um risco maior envolvido. As administrações sempre devem analisar seus ambientes para determinar se existem ameaças.

Ao discutir possíveis riscos de segurança, este documento usa os seguintes níveis de ameaça:

Nível de ameaça Descrição
Alto Quando a ameaça à segurança é definida como alta, qualquer falha na proteção ou exclusão das pastas/arquivos listados pode resultar em acesso não autorizado a informações confidenciais. As administrações sempre devem seguir as ações recomendadas neste documento.
Médio Quando o nível de ameaça é definido como médio, as pastas/arquivos listados podem conter informações que os administradores podem não querer expor. As administrações devem analisar seu ambiente e, geralmente, seguir as ações recomendadas neste documento.
Baixo Quando a ameaça é definida como baixa, as pastas/arquivos listados normalmente devem conter informações seguras para acesso público. Por isso, nenhuma ação adicional geralmente precisará ser realizada. As administrações ainda devem analisar seu conteúdo para determinar se existem ameaças que estejam fora do escopo deste documento.

Ao recomendar ações para administradores, este documento usa as seguintes definições recomendadas:

Ação recomendada Descrição
Excluir As pastas/arquivos listados devem ser excluídos.
Seguro As pastas/arquivos listados devem ser protegidos. Normalmente, isso pode ser feito no nível da pasta removendo o acesso de leitura no caminho por meio da ferramenta de administração do IIS ou copiando o conteúdo para um local seguro fora das pastas de conteúdo do site e removendo o conteúdo do site.
N/D Nenhuma ação adicional geralmente precisará ser realizada.

Protegendo pastas e arquivos do FrontPage

Pastas encontradas em um site do FrontPage

A tabela a seguir lista as pastas usadas pelas Extensões do Servidor FrontPage e as ações recomendadas. Se as pastas listadas nesta tabela foram usadas para funcionalidade adicional, você sempre deve proteger essas pastas conforme apropriado.

Pasta Ameaça Ação Observações
_derived Baixo N/D O FrontPage mantém arquivos derivados, como imagens geradas nesta pasta.
_fpclass Médio Seguro Deve conter o código do FrontPage disponível publicamente, mas deve ser protegido se um usuário modificou o código.
_overlay Baixo N/D O FrontPage mantém arquivos derivados, como imagens geradas nesta pasta.
_private Alto Seguro As Extensões do Servidor FrontPage geralmente mantêm arquivos de dados confidenciais nessa pasta, portanto, elas devem ser configuradas para impedir a navegação.
_vti_bin Alto Excluir Esse é o diretório virtual para os executáveis de Extensões do Servidor FrontPage. Embora as configurações de segurança do IIS devam impedir a execução de qualquer código desconhecido dentro desse caminho, esse caminho é configurado para permitir que os executáveis funcionem e devem ser removidos da configuração do site, se estiverem presentes.
_vti_bot Médio Proteger ou excluir Essa pasta geralmente não deve existir para o FrontPage e contém Web Bots do FrontPage gerados pelo usuário. As administrações devem examinar quais arquivos estão localizados nessa pasta e protegê-los ou excluí-los conforme apropriado.
_vti_cnf Alto Proteger ou excluir As Extensões do Servidor FrontPage mantêm arquivos de metadados confidenciais nesta pasta, portanto, elas devem ser excluídas ou configuradas para impedir a navegação. A ameaça potencial é a revelação de nomes de domínio/usuário e outros metadados.
_vti_log Médio Proteger ou excluir As Extensões do Servidor FrontPage mantêm logs de autor nessa pasta, portanto, elas devem ser excluídas ou configuradas para impedir a navegação. A ameaça potencial é a revelação de nomes de domínio/usuário e outra atividade relacionada ao autor.
_vti_pvt Alto Proteger ou excluir Essa pasta contém vários arquivos que contêm vários metadados para seu site e deve ser protegida. Observação: para obter mais detalhes, consulte a seção Arquivos encontrados na pasta _vti_pvt
_vti_script Médio N/A ou Excluir Essa pasta é usada pelo FrontPage para scripts que pesquisam sites da Web usando o Servidor de Índice. Os administradores que configuram a pesquisa do Servidor de Índice podem querer manter essa pasta ou talvez desejem excluí-la. A ameaça potencial é a revelação de caminhos de arquivo físicos no servidor listados em arquivos IDQ.
_vti_shm Baixo Excluir Essa pasta não deve existir e é uma sobra do FrontPage 1.x, portanto, é seguro excluir.
_vti_txt Alto Excluir Esta pasta contém os índices de texto e catálogos para a pesquisa WAIS do FrontPage mais antiga. Como as versões posteriores do FrontPage usaram apenas o Servidor de Índice, é seguro excluir essa pasta. A ameaça potencial é a revelação do conteúdo dos arquivos em seu site.
cgi-bin Médio Proteger ou excluir Essa pasta não deve existir para o FrontPage e pode ser uma sobra das primeiras versões do FrontPage. As administrações devem examinar quais arquivos estão localizados nessa pasta e protegê-los ou excluí-los conforme apropriado. A ameaça potencial é o FrontPage herdado ou outros aplicativos CGI que podem ser executados dentro da área de conteúdo que podem não ser mais seguros.
fpdb Alto Seguro O FrontPage mantém os bancos de dados nessa pasta, portanto, ele deve ser configurado para impedir a navegação. A ameaça potencial é o acesso não autorizado a bancos de dados em seu site.
images Baixo N/D O FrontPage mantém arquivos de imagem nesta pasta.

Arquivos encontrados na pasta _vti_pvt

A tabela a seguir lista os arquivos que estão localizados na pasta _vti_pvt de um site do FrontPage. Esses arquivos são usados pelas Extensões do Servidor FrontPage para armazenar vários metadados para um site da Web e geralmente devem ser protegidos ou excluídos no nível da pasta.

Arquivo Ameaça Ação Observações
_x_browsers.xml Baixo N/D Contém informações de uso para navegadores da Web.
_x_domains.xml Baixo N/D Contém informações de uso para domínios.
_x_pagehits.xml Baixo N/D Contém informações de uso para páginas individuais. Isso é principalmente seguro, a menos que você tenha páginas que não estejam disponíveis publicamente.
_x_systems.xml Baixo N/D Contém informações de uso para sistemas operacionais.
_x_todo.htm Alto Excluir Contém a lista de tarefas pendentes para os usuários. A ameaça potencial é a revelação de nomes de domínio/usuário.
_x_todoh.htm Alto Excluir Contém o histórico de tarefas para os usuários. A ameaça potencial é a revelação de nomes de domínio/usuário.
_x_users.xml Alto Excluir Contém informações de uso para usuários específicos. A ameaça potencial é a revelação de nomes de domínio/usuário.
access.cnf Alto Excluir Contém informações de acesso para um site do FrontPage.
botinfs.cnf Baixo N/D Contém informações do WebBot do FrontPage para um site do FrontPage.
bots.cnf Baixo N/D Contém informações do WebBot do FrontPage para um site do FrontPage.
deptodoc.btr Médio Excluir Banco de dados de dependências de documento – seguro para exclusão.
doctodep.btr Médio Excluir Banco de dados de dependências de documento – seguro para exclusão.
frontpg.lck Baixo Excluir Arquivo de bloqueio – seguro para excluir.
linkinfo.btr Médio Excluir Banco de dados de dependências de documento – seguro para exclusão.
service.cnf Alto Seguro Contém os metadados de um site do FrontPage. A ameaça potencial é a revelação de nomes de domínio/usuário, caminhos de arquivo locais e outros metadados.
service.lck Baixo Excluir Arquivo de bloqueio – seguro para excluir.
services.cnf Baixo N/D Contém informações de subsite do FrontPage. Observação: se você excluir isso, perderá sua hierarquia de site/subsite do FrontPage e os subsites se tornarão parte do site do FrontPage pai.
structure.cnf Baixo N/D Contém a estrutura do site do FrontPage.
svcacl.cnf Médio Excluir Contém informações sobre as permissões do usuário final para um site do FrontPage. (por exemplo, se os subsites têm permissões exclusivas e restrições de endereço IP.)
usage.lck Baixo Excluir Arquivo de bloqueio – seguro para excluir.
writeto.cnf Alto Excluir Contém uma lista de arquivos que podem ser gravados. (por exemplo, arquivos de resultados do manipulador de formulários.)

Arquivos encontrados dentro da pasta raiz de um site do FrontPage

A tabela a seguir lista os arquivos que estão localizados na pasta raiz de um site do FrontPage.

Arquivo Ameaça Ação Descrição
_vti_inf.html Baixo Excluir Esse arquivo contém os caminhos virtuais para os executáveis de Extensões do Servidor FrontPage e é usado por qualquer cliente que se comunique com as Extensões do Servidor FrontPage.
postinfo.html Baixo Excluir Este arquivo contém informações para o Assistente de Publicação da Web do Windows.

Resumo

Neste artigo, você foi instruído sobre onde localizar as Extensões do FrontPage Server 2002 para Windows Vista e Windowa Server 2008. Além disso, você viu em detalhes quais dados são pertinentes às instalações do FrontPage e como proteger com precisão esses dados.