安全公告
Microsoft 安全公告 MS02-062 - 中等
Internet Information Service 累积修补程序 （Q327696）
发布时间： 2002 年 10 月 23 日 |更新时间：2002 年 11 月 1 日
版本： 1.1
最初发布： 2002 年 10 月 30 日
总结
谁应阅读此公告： 使用 Microsoft® Windows NT® 4.0、Windows® 2000 或 Windows XP 托管 Web 服务器的客户。
漏洞的影响： 四个漏洞，其中最严重的漏洞可以使服务器上的应用程序获得系统级特权。
最大严重性分级： 中等
建议： 使用 IIS 4.0、5.0 或 5.1 的客户应考虑应用修补程序
受影响的软件：
- Microsoft Internet Information Server 4.0
- Microsoft Internet Information Services 5.0
- Microsoft Internet Information Services 5.1
常规信息
技术详细信息
技术说明：
此修补程序是累积修补程序，包括自 Windows NT 4.0 Service Pack 6a 以来为 IIS 4.0 发布的所有安全修补程序的功能，以及 IIS 5.0 和 5.1 迄今发布的所有安全修补程序的功能。 下面提供了此修补程序所取代的修补程序的完整列表，该部分标题为“有关此修补程序的其他信息”。 应用修补程序之前，系统管理员应注意同一部分中讨论的注意事项。
除了包括以前发布的安全修补程序外，此修补程序还包括以下新发现的影响 IIS 4.0、5.0 和/或 5.1 的安全漏洞的修补程序：
- 当 IIS 4.0、5.0 或 5.1 服务器配置为在进程外运行时，影响 ISAPIs 启动方式的特权提升漏洞。 根据设计，托管进程（dllhost.exe）应仅在IWAM_computername帐户的安全上下文中运行;但是，实际上可以在某些情况下获取 LocalSystem 特权，从而使 ISAPI 可以执行同样操作。
- 拒绝服务漏洞，导致 IIS 5.0 和 5.1 为 WebDAV 请求分配内存的方式存在缺陷。 如果 WebDAV 请求以特定方式格式不正确，IIS 将在服务器上分配非常大的内存。 通过发送多个此类请求，攻击者可能会导致服务器失败。
- 涉及 IIS 5.0 中脚本源访问权限操作的漏洞。 除了虚拟目录的普通读/写权限外，此权限还会运行，并规范脚本是否。ASP 文件和可执行文件类型可以上传到启用了写入的虚拟目录。 表中定义受此权限约束的文件类型的版式错误会影响从受权限约束的文件列表中省略.COM文件。 因此，用户只需要写入访问权限才能上传此类文件。
- 影响 IIS 4.0、5.0 和 5.1 以及涉及管理网页的一对跨站点脚本（CSS）漏洞。 其中每个漏洞都具有相同的范围和效果：能够诱使用户单击其网站上的链接的攻击者可以将包含脚本的请求中继到运行 IIS 的第三方网站，从而导致第三方网站的响应（仍包括脚本）发送给用户。 然后，该脚本将使用第三方站点的安全设置而不是攻击者的安全设置进行呈现。
此外，修补程序会导致 5.0 和 5.1 更改套接字积压工作列表的频率（分配服务器上的所有连接时）将清除挂起的连接请求列表。 修补程序会更改 IIS 以更频繁地清除列表，以便使其更具抗洪攻击的复原能力。 IIS 4.0 中不存在积压工作监视功能。
缓解因素：
进程外权限提升：
- 此漏洞只能由已能够在受影响的 Web 服务器上加载和执行应用程序的攻击者利用。 正常安全做法建议不允许不受信任的用户将应用程序加载到服务器上，甚至在允许加载应用程序之前，甚至需要仔细审查受信任的用户的应用程序。
WebDAV 拒绝服务：
- 此漏洞不会影响 IIS 4.0，因为此版本的 IIS 不支持 WebDAV。
- 仅当服务器允许对该漏洞征收 WebDAV 请求时，才能利用该漏洞。 IIS 锁定工具（如果部署在其默认配置中）会禁用此类请求。
脚本源访问漏洞：
- 仅当管理员授予所有用户对服务器上的一个或多个虚拟目录的写入和执行权限时，才能利用该漏洞。 IIS 的默认配置不会面临此漏洞的风险。
- 此漏洞不会影响 IIS 4.0，因为此版本的 IIS 不支持 WebDAV。
- 仅当服务器允许对该漏洞征收 WebDAV 请求时，才能利用该漏洞。 IIS 锁定工具（如果部署在其默认配置中）会禁用此类请求。
IIS 中的跨站点脚本管理员主页面：
- 仅当攻击者可能诱使其他用户访问网页并单击其上的链接或打开 HTML 邮件时，才能利用漏洞。
- 默认情况下，包含漏洞的页面限制为本地 IP 地址。 因此，仅当客户端本身正在运行 IIS 时，才能利用漏洞。
严重性分级：
进程外权限提升：
| Internet 服务器 | Intranet 服务器 | 客户端系统 | |
|---|---|---|---|
| IIS 4.0 | 适中 | 适中 | 无 |
| IIS 5.0 | 适中 | 适中 | 无 |
| IIS 5.1 | 适中 | 适中 | 无 |
WebDAV 拒绝服务：
| Internet 服务器 | Intranet 服务器 | 客户端系统 | |
|---|---|---|---|
| IIS 4.0 | 无 | None | 无 |
| IIS 5.0 | 适中 | 适中 | 无 |
| IIS 5.1 | 适中 | 适中 | 无 |
脚本源访问漏洞：
| Internet 服务器 | Intranet 服务器 | 客户端系统 | |
|---|---|---|---|
| IIS 4.0 | 无 | None | 无 |
| IIS 5.0 | 低 | 低 | 无 |
| IIS 5.1 | 无 | None | 无 |
IIS 中的跨站点脚本管理员主页面：
| Internet 服务器 | Intranet 服务器 | 客户端系统 | |
|---|---|---|---|
| IIS 4.0 | 无 | 无 | 低 |
| IIS 5.0 | 无 | 无 | 低 |
| IIS 5.1 | 无 | 无 | 低 |
上述 评估 基于受漏洞影响的系统类型、其典型部署模式以及利用漏洞对它们的影响。
漏洞标识符：
- 进程外权限提升： CAN-2002-0869
- WebDAV 拒绝服务： CAN-2002-1182
- 脚本源访问漏洞： CAN-2002-1180
- IIS 中的跨站点脚本管理员编辑页面：CAN-2002-1181
测试的版本：
Microsoft 测试了 IIS 4.0、5.0 和 5.1，以评估它们是否受这些漏洞的影响。 以前的版本不再 受支持，可能会或不受这些漏洞的影响。
常见问题解答
此修补程序消除了哪些漏洞？
这是一个累积修补程序，应用后，可消除影响 Internet Information Server （IIS） 4.0 的大多数安全漏洞（警告部分下面列出了异常）以及影响 Internet Information Service 5.0 和 5.1 的所有漏洞。 除了消除以前讨论的漏洞之外，它还消除了几个新的漏洞：
- 一个漏洞，该漏洞可使在 Web 服务器上运行的恶意应用程序控制该漏洞。
- 使攻击者能够导致 Web 服务器失败的漏洞。
- 使攻击者能够在已授予大多数不适当的权限的 Web 服务器上加载程序的漏洞。
- 攻击者可以通过 IIS 4.0、5.0 或 5.1 Web 服务器将 Web 内容“弹跳”到其他用户的浏览器会话的一对漏洞。
IIS 4.0、5.0 和 5.1 附带哪些产品？
- Internet Information Server 4.0 作为 Windows NT 4.0 选项包（NTOP）的一部分提供。
- Internet Information Service 5.0 作为 Windows 2000 Datacenter Server、Advanced Server、Server 和 Professional 的一部分提供。
- Internet Information Service 5.1 作为 Windows XP Professional 的一部分提供。 它不会作为 Windows XP 家庭版的一部分提供。
IIS 4.0、5.0 和 5.1 是否默认运行？
- 在 Windows NT 4.0 服务器上安装 NTOP 时，IIS 4.0 默认运行。 在 Windows NT 4.0 工作站上安装 NTOP 时，它不会默认运行，除非安装对等 Web 服务时已在运行。
- 默认情况下，IIS 5.0 在所有 Windows 2000 服务器产品上运行。 默认情况下，它不会在 Windows 2000 Professional 上运行。
- 默认情况下，IIS 5.1 不会在 Windows XP 上运行。
修补程序是否包含任何其他修补程序？
是的。 除了消除上面讨论的安全漏洞之外，该修补程序还包括一个额外的修补程序，修复了一个可以降低服务器可用性的问题。 在这种情况下，问题不是安全漏洞，而是一个洪水问题，大量合法请求可能会暂时淹没服务器。 （一旦请求泛滥停止，服务器就会恢复正常服务）。
修复程序更改了清除服务器达到其容量时套接字积压工作列表（保留挂起的连接请求）的频率。 在当前设计中，列表会在几秒钟后清除，之后，所有用户的请求都争用列表中的位置。 如果系统与服务器建立非常高的带宽连接并生成了大量连接请求，则相对不频繁的清除可能会使其主宰积压工作列表。 修复可减少清除间隔，从而使执行此操作更加困难。
某些漏洞适用于某些版本的 IIS，但不适用于其他版本。 如何实现知道我是否需要版本修补程序？
如果正在运行任何受影响的产品，则应安装修补程序。 该修补程序将仅对影响 IIS 版本的漏洞应用修补程序。
除了在修补程序上保持最新状态之外，我是否应该采取任何其他步骤来维护 Web 服务器的安全性？
若要保护 Web 服务器安全，需要执行的最重要步骤是使用 IIS 锁定工具。 该工具将确保服务器安全配置，并将安装 URLScan 工具，以在服务器运行时提供持续保护。
此外，影响 IIS 4.0 的漏洞数量很少，无法通过软件修补程序消除。 相反，它们需要管理操作。 警告部分下面列出了所有这些漏洞。
这些修补程序是否可以安装在运行个人 Web 服务器或对等 Web 服务的系统上？
在某些情况下，他们可以。 如果运行的是个人 Web 服务器或对等 Web 服务，请参阅 Microsoft 知识库文章 Q307439 以获取特定信息。
为何未在这些漏洞的上下文中讨论 IIS 6.0？
我们通常不会在安全公告中讨论 beta 产品。 根据定义，beta 产品不完整;它们旨在用于评估目的，不应在生产系统中使用。 但是，少数客户与 Microsoft 一起从事 IIS 6.0 的生产部署，我们直接向他们提供修补程序。
进程外特权提升漏洞（CAN-2002-0869）：
此漏洞的范围是什么？
这是 特权提升 漏洞。 通过利用它，在 Web 服务器上加载和执行应用程序的攻击者可能会获得系统级特权，从而完全控制系统。
攻击者能够在服务器上加载和执行应用程序的要求可能相当令人生畏，因为最佳做法强烈建议不要允许不受信任的用户执行此操作。 即使是受信任的用户应用程序也应经过审查，然后才能将其上传到 Web 服务器。
导致漏洞的原因是什么？
漏洞会导致漏洞，因为即使 IIS 配置为进程外运行应用程序，流氓应用程序也可能会获得 LocalSystem 权限。
运行应用程序“进程外”意味着什么？
IIS 可配置为通过以下两种方式之一运行应用程序。 应用程序可以运行进程内，在这种情况下，它们将作为 IIS 进程本身的一部分运行，或者进程外运行，在这种情况下，它们将作为独立于 IIS 进程的单独进程的一部分运行。 在 IIS 4.0 中，应用程序默认在进程内运行;在 IIS 5.0 和 5.1 中，应用程序默认耗尽进程。
在进程内运行应用程序有什么优点？
在进程内运行应用程序可提供 更好的性能。 这是因为在进程内运行允许应用程序共享 IIS 进程的资源和内存，而无需具有自己的隔离资源。
在进程外运行应用程序有什么优势？
进程外运行的应用程序有两个优点。 第一个是稳定性。 如果进程内运行的应用程序失败，它可能会破坏 IIS 本身的稳定性。 相比之下，如果进程外应用程序失败，它最多只能破坏运行的进程的稳定性。
第二种是安全性。 根据设计，应用程序始终可以获取其在其中运行的进程的权限。 （例如，它可以通过 RevertToSelf 指令）。 这意味着进程内运行的应用程序可以在服务器上获得完全管理权限，因为 IIS 进程在 LocalSystem 安全上下文中运行。 相比之下，当应用程序进程不足时，会创建一个单独的进程来包含应用程序，其中包含 Web 应用程序管理器帐户的凭据（Web 管理员更清楚为IWAM_computername帐户）。 此帐户只有普通用户的特权，因此进程不足会显著限制恶意应用程序可以执行的操作。
你对“流氓应用程序”意味着什么？
请记住，此处的方案涉及在 Web 服务器上运行的应用程序。 显然，第一道防线是在确定哪些应用程序可以在那里运行时使用谨慎。 管理员管理员绝不应允许不受信任的用户在服务器上加载和运行应用程序，甚至应仔细审查受信任的用户的应用程序，然后才能在服务器上加载和运行应用程序。 （Microsoft 提供了一个名为 的工具DumpBin 用于此目的。 如果此保护失败，并且有人设法在服务器上加载并运行不受信任的应用程序，则此处的方案才会发挥作用。
当 IIS 配置为进程外运行应用程序时，其运行方式有什么问题？
根据设计，进程外应用程序永远不可能获得比 Web 应用程序管理器更大的权限，因为隔离应用程序的进程应只具有这些权限。 但是，通过实现缺陷，可以执行此过程以实际使用 LocalSystem 特权，然后恶意应用程序也可以假设该权限。
攻击者可以通过此漏洞执行哪些操作？
如果攻击者能够将应用程序放置到服务器上并执行应用程序，则应用程序可以假定本地系统的特权，即操作系统本身。 结果是攻击者的应用程序将在服务器上获得完全特权，并能够采取任何所需的操作。
谁可以利用此漏洞？
只有能够在服务器上加载和执行代码的攻击者才能利用此漏洞。 最有可能的情况是攻击者已经部分入侵了服务器，然后使用此漏洞获取其他权限，或者 ISP 在单个服务器上托管了多个客户的网站，并且没有对其加载和执行代码的能力施加足够的限制。
如果 IIS 4.0 默认运行进程内应用程序，此漏洞为何对 IIS 4.0 系统构成威胁？
该漏洞不会给默认配置中留下并运行进程内应用程序的 IIS 4.0 系统带来更大的风险。 简言之，IIS 4.0 的此类配置已经容易受到恶意应用程序将其特权提升到 LocalSystem 的漏洞。
修补程序如何解决此漏洞？
修补程序会更改启动进程外应用程序的方式，并避免提升包含进程的特权。
WebDAV 拒绝服务漏洞（CAN-2002-1182）：
此漏洞的范围是什么？
这是 拒绝服务 漏洞。 成功利用它的攻击者可能会导致受影响的 Web 服务器失败，随后会中断当时正在进行的任何 Web 会话。 如果 IIS 锁定工具 部署在其默认配置中，则无法利用该漏洞。 它不会影响 IIS 4.0，因为该版本缺少包含漏洞的功能。
导致漏洞的原因是什么？
由于 IIS 5.0 和 5.1 通过分配超出适当分配的系统内存量来响应某些类型的 WebDAV 请求，因此漏洞会导致漏洞。
什么是 WebDAV？
WebDAV 是 HTTP 规范的扩展。 “WebDAV”中的“DAV”代表“分布式创作和版本控制”，它增加了授权用户远程添加和管理 Web 服务器上的内容的功能。 在 Windows 2000 和 Windows XP 中完全支持 WebDAV，并作为这两个产品的一部分提供。
IIS 5.0 和 5.1 处理 WebDAV 请求的方式有什么问题？
当 IIS 收到 WebDAV 请求时，通常需要在处理请求的服务器上分配一些内存。 但是，如果请求以特定方式格式不正确，IIS 中的缺陷将导致它分配错误的内存量-比它应该大得多的内存量。 仅处理一些此类请求可能会耗尽系统内存，并导致操作系统失败。
攻击者可以通过此漏洞执行哪些操作？
成功利用此漏洞的攻击者可能会导致受影响的 IIS 服务器失败。 攻击时正在进行的所有会话都将丢失，管理员需要重新启动服务器才能还原正常服务。
谁可以利用此漏洞？
可以将 WebDAV 请求传递到受影响的 Web 服务器的任何用户都可能会尝试利用该漏洞。 由于 WebDAV 请求通过 HTTP（端口 80）的同一端口传输，因此这实质上意味着任何与受影响服务器建立连接的用户都可能会尝试利用漏洞。
你说攻击者可能会“尝试”利用漏洞。 将如何确定尝试是否成功？
除了攻击者能够传递请求外，服务器还需要处理请求。 但是，可以使用 IIS 锁定工具禁用 WebDAV。
该漏洞是否会影响 IIS 4.0？
否。 IIS 4.0 不支持 WebDAV，因此该漏洞不存在。
修补程序如何解决漏洞？
修补程序会导致 IIS 将上述类型的 WebDAV 请求视为无效并拒绝它们。
脚本源访问漏洞 （CAN-2002-1180）：
此漏洞的范围是什么？
如果攻击者已向服务器授予其他权限，则此漏洞可能导致攻击者将程序加载到 IIS 5.0 服务器上。 如果攻击者已被授予其他权限，则也可能运行该程序。
默认情况下，其他任何所需权限都不会授予，默认情况下管理员很难授予这些权限。 此漏洞不会影响 IIS 4.0 或 5.1，如果 IIS 锁定工具 部署在其默认设置中，则会阻止该漏洞。
导致漏洞的原因是什么？
由于 IIS 5.0 中受脚本源访问权限约束的文件类型列表中出现版式错误，导致漏洞。
什么是脚本源访问？
脚本源访问是第二层防御措施，旨在防止未经授权的用户在服务器上加载和运行程序。 第一层防御是对服务器上的虚拟目录的写入访问权限。 如果管理员尚未向用户提供对一个或多个虚拟目录的写入访问权限，则无法将任何类型的文件加载到服务器上。
如果管理员已向目录授予写入权限，用户可以上传许多类型的文件。 但是，它们仍然无法上传程序、脚本和其他可执行文件类型。 这些文件类型受其他权限的约束，称为脚本源访问。 除非管理员同时授予写入访问权限和脚本源访问权限，否则用户不应按设计上传可执行文件。
IIS 如何知道哪些文件类型只需要写入权限，哪些文件类型需要写入和脚本源访问权限？
除了写入访问权限外，IIS 还维护需要脚本源访问权限的文件类型列表。
在 IIS 5.0 中实现脚本源访问的方式有什么问题？ 需要脚本源访问的文件类型列表中存在版式错误。 具体而言，.COM文件的条目拼写错误。 结果是从通常与可执行文件关联的限制中排除.COM文件，并允许用户仅使用写入访问权限上传这些文件。
攻击者可以通过此漏洞执行哪些操作？
即使尚未授予脚本源访问权限，该漏洞也可能使攻击者能够将.COM文件加载到服务器上。 但是，如下面所述，在以前安全服务器通过此漏洞易受攻击的情况下相对较少。
谁可以利用此漏洞？
若要利用漏洞，攻击者需要已拥有对服务器上的虚拟目录的写入权限和执行权限。 默认情况下，IIS 不向任何虚拟目录提供写入权限。
为什么攻击者需要写入和执行权限？
需要写入权限才能向攻击者提供上传.COM文件的方法;执行权限是必需的，以便为他或她提供上传文件后运行该文件的方法。
攻击者真的需要执行权限吗？ 他或她不能简单地上传程序，然后等待其他人执行它吗？
IIS 虚拟目录的权限不按用户分配，全局分配。 也就是说，为了让任何人对虚拟目录拥有执行权限，每个人都必须拥有它。
管理员错误地向虚拟目录授予写入或执行权限的可能性有多大？
每当管理员授予对虚拟目录的写入或执行权限时，IIS 会显示一条警告消息，指出与执行此操作相关的危险，并在继续操作前需要确认。 管理员不太可能意外地授予他们。
IIS 锁定工具是否会帮助保护服务器免受此漏洞的侵害？
是的。 IIS 锁定工具禁用 WebDAV，攻击者无法传送.COM文件，即使在其他易受攻击的服务器上也是如此。
IIS 4.0 或 5.1 是否受漏洞影响？
否。 只有 IIS 5.0 受其影响。
修补程序如何解决漏洞？
修补程序更正了版式错误，从而使.COM文件受到脚本源访问限制。
IIS 中的跨站点脚本漏洞管理员编辑页面（CAN-2002-1181）：
这些漏洞的范围是什么？
这些都是跨站点脚本漏洞。 所有这些漏洞的范围和效果都是相同的 -- 通过这些漏洞，攻击者可能会向受影响的服务器发送请求，该服务器将导致将包含脚本的网页发送到其他用户。 脚本将在用户的浏览器中执行，就像它来自第三方站点一样。 这将允许它使用适用于第三部分网站的安全设置来运行，并允许攻击者访问属于该网站的任何数据。
仅当用户的系统也配置为充当 Web 服务器时，才能利用该漏洞。 即便如此，只有当用户打开 HTML 邮件或访问恶意用户的网站时，它才能被利用-代码无法“注入”到现有会话中。
导致漏洞的原因是什么？
IIS 提供的某些 Web 服务在使用之前未正确验证所有输入，因此容易受到跨站点脚本（CSS）的侵害。
什么是跨站点脚本？
CSS 是一个安全漏洞，可能使恶意用户能够将代码“注入”到用户与网站的会话中。 与大多数安全漏洞不同，CSS 不适用于任何供应商的产品，而是会影响在 Web 服务器上运行的任何软件，并且不遵循防御性编程做法。 2000 年初，Microsoft 和 CERT 合作向软件行业通报了该问题，并领导了整个行业的响应。
CSS 的工作原理是什么？
良好的说明以执行摘要和常见问题解答的形式提供。 但是，在高级别的详细信息中，下面是 CSS 的工作原理。 假设网站 A 提供了一项搜索功能，允许用户键入要搜索的字词或短语。 如果用户键入“香蕉”作为搜索短语，网站将搜索该短语，然后生成一个网页，说“我很抱歉，但我找不到”香蕉“一词。 它会将网页发送到他的浏览器，然后分析页面并显示它。
现在假设，用户输入了类似于“香蕉 ”SCRIPT“、” “Alert（'Hello'）、”、“”、“/SCRIPT”之类的内容，而不是输入“香蕉”作为搜索短语。 如果搜索功能被写成盲目地使用它提供的任何搜索短语，它将搜索整个字符串，并创建一个网页，说“我很抱歉，但我找不到单词”香蕉 ·SCRIPT“，” “Alert（'Hello'）;”，“/SCRIPT？”。 但是，以“？”SCRIPT“开头且以”“/SCRIPT”结尾的所有文本实际上是程序代码，因此处理页面时，用户的浏览器将显示一个对话框，并说“Hello”。
到目前为止，此示例只演示了用户如何从 Web 服务器“中继”代码并使它在其自己的计算机上运行。 这不是安全漏洞。 但是，恶意网站操作员可以调用此漏洞，以便在访问其网站的用户的计算机上运行。 如果网站 B 是由恶意用户操作的，该用户能够吸引用户访问它并单击超链接，则网站 B 可以转到网站 A，使用恶意脚本填写搜索页面，并代表用户提交它。 生成的页面将返回到用户（因为用户单击超链接后，最终是请求者），并在用户的计算机上处理。
脚本可以在用户计算机上执行哪些操作？
网站 B（攻击者的网站）的脚本将在用户的计算机上运行，就好像它来自网站 A 一样。实际上，这意味着两件事：
- 它将使用适用于网站 A 的用户计算机上的安全设置运行。
- 网站 B 中的脚本将能够访问属于网站 A 的用户系统上的 Cookie 和任何其他数据。
用户使用的浏览器是否重要？
否。 此处的要点是，问题在于 Web 服务器上的软件，而不是浏览器。 只要 Web 服务器上的软件盲目使用它提供的任何输入，就可能出现此漏洞。 相反，它应筛选掉任何不适合的输入。 在上面的示例中，搜索引擎应去除可用于将脚本注入搜索过程的任何字符，例如“”。 知识库文章 Q252985提供了应筛选的字符的完整说明。
IIS 有什么问题？
IIS 为管理或文档目的提供的多个网页无法正确筛选其输入，因此可以在跨站点脚本攻击中使用。
这些漏洞会使攻击者能够执行哪些操作？
漏洞将允许操作网站的攻击者，并且能够诱使另一个用户单击其上的链接，通过运行 IIS 的另一个网站执行跨站点脚本攻击。 如上所述，这将使攻击者能够使用另一个网站（正在运行的 IIS）的安全设置在用户的浏览器中运行脚本，并访问其所属的 Cookie 和其他数据。
不过，请务必注意，这是一个重要的缓解因素。 默认情况下，仅当漏洞位于用户自己的计算机上时，才能访问包含该漏洞的网页。 其实际效果是仅当用户的计算机已充当 Web 服务器时，才能使漏洞被利用。
此漏洞是否为攻击者提供任何伤害我的网站的方法？
否。 攻击者无法对您的网站采取任何操作，但能够将您的网站用作无意中的同伙，以攻击可能访问您的网站的人员。
你说攻击的要点是攻击者使用网站的安全设置在用户的浏览器中运行脚本。 攻击者会通过执行此操作获得哪些特定功能？
根据攻击者站点和你所在的安全区域，它因站点到站点而异。
- 如果它们都位于同一区域（默认情况下，所有网站都驻留在 Internet 区域中，除非用户移动它们），则它们都将受到完全相同的安全限制，攻击者不会通过漏洞获取任何内容。
- 如果用户已将攻击者的站点置于比你的区域更受限的区域，则攻击者将获得脚本在用户计算机上执行任何操作的能力，该用户可从站点执行该脚本。
- 如果用户已将站点置于比你更受限的区域，攻击者实际上会通过攻击失去功能。
但是，请务必注意，无论安全设置如何，攻击者的脚本始终能够访问属于第三方站点的用户系统上的任何其他数据。 这是因为，就浏览器而言，攻击者是第三方站点。
修补程序如何解决漏洞？
修补程序通过确保上面讨论的网页在使用之前正确筛选输入来消除漏洞。
修补程序可用性
下载此修补程序的位置
IIS 4.0：
IIS 5.0：
IIS 5.1：
有关此修补程序的其他信息
安装平台：
- IIS 4.0 修补程序可以安装在运行 Windows NT 4.0 Service Pack 6a 的系统上。
- IIS 5.0 修补程序可以安装在运行 Windows 2000 Service Pack 2 或 Service Pack 3 的系统上。
- IIS 5.1 修补程序可以安装在运行 Windows XP Professional Gold 和 Service Pack 1 的系统上。
包含在将来的 Service Pack 中：
- 没有针对 Windows NT 4.0 计划其他 Service Pack。
- IIS 5.0 修补程序将包含在 Windows 2000 Service Pack 4 中。
- IIS 5.1 修补程序将包含在 Windows XP Service Pack 2 中。
需要重新启动：
- IIS 4.0：可以通过停止 IIS 服务、使用 /z 开关安装修补程序，然后重启服务来避免重新启动。 知识库文章Q327696提供有关此过程的其他信息。
- IIS 5.0：在大多数情况下，修补程序不需要重新启动。 安装程序停止所需的服务，应用修补程序，然后重新启动它们。 但是，如果出于任何原因无法停止所需的服务，则需要重新启动。 如果发生这种情况，则会显示提示需要重新启动。
- IIS 5.1：否。 （在某些情况下，弹出对话可能表示系统需要重新启动才能完成修补程序安装过程。此对话（如果出现）可以忽略）
可以卸载修补程序： 是
取代的修补程序：
此修补程序取代了以下 Microsoft 安全公告中提供的修补程序：
验证修补程序安装：
IIS 4.0：
若要验证是否已在计算机上安装修补程序，请确认计算机上已创建以下注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\Q327696。
若要验证各个文件，请参阅知识库文章Q327696中的文件清单。
IIS 5.0：
若要验证是否已在计算机上安装修补程序，请确认计算机上已创建以下注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows 2000\SP4\Q327696。
若要验证各个文件，请使用以下注册表项中提供的日期/时间和版本信息：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows 2000\SP4\Q327696\Filelist。
IIS 5.1：
若要验证是否已在计算机上安装修补程序，请确认计算机上已创建以下注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows XP\SP2\Q327696。
若要验证各个文件，请使用以下注册表项中提供的日期/时间和版本信息：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\汇报\Windows XP\SP2\Q327696\Filelist。
注意：
修补程序中不包括影响 IIS 4.0 服务器的四个漏洞，因为它们需要管理操作，而不是软件更改。 管理员管理员应确保除了应用此修补程序外，他们还采取了以下公告中讨论的管理操作：
修补程序不包括涉及非 IIS 产品的漏洞修复，例如 Front Page Server Extensions 和 Index Server，即使这些产品与 IIS 密切相关，并且通常安装在 IIS 服务器上。 在撰写本文时，讨论这些漏洞的公告包括：
- Microsoft 安全公告 MS01-043
- Microsoft 安全公告 MS01-025
- Microsoft 安全公告 MS00-084
- Microsoft 安全公告 MS00-018
- Microsoft 安全公告 MS00-006
但是，有一个例外。 此修补程序中包含 Microsoft 安全公告 MS01-033 中讨论的影响索引服务器的漏洞修复。 由于 IIS 服务器的问题严重性，我们包括在内了此问题。
使用 IIS 4.0 的客户应确保在安装此或任何安全修补程序之前遵循正确的安装顺序。 具体而言，客户应确保在安装 IIS 4.0 服务后已应用 Windows NT 4.0 Service Pack 6a（或重新应用）。
使用站点服务器的客户应注意，以前记录的涉及间歇性身份验证错误的问题已确定会影响此错误和其他少数修补程序。 Microsoft 知识库文章 Q317815讨论该问题及其解决方法。
本地化：
此修补程序的本地化版本在“修补程序可用性”中讨论的位置可用。
获取其他安全修补程序：
可从以下位置获取其他安全问题的修补程序：
- 安全修补程序可从 Microsoft 下载中心获取，可通过执行关键字 (keyword)搜索“security_patch”来轻松找到。
- WindowsUpdate 网站提供了使用者平台的修补程序
其他信息：
确认
Microsoft 感谢 以下人员向我们报告此问题，并与我们合作保护客户：
- A3 安全咨询有限公司（https://www.a3sc.co.kr）的 Li0n 报告进程外特权提升漏洞。
- 下一代安全软件有限公司 （https://www.nextgenss.com） 的 Mark Litchfield 报告 WebDAV 拒绝服务漏洞。
- 国际网络安全公司的 Tomoki Sanaki，用于报告脚本源访问漏洞。
- LAC（https：）的 Arai Yuu 报告 IIS 管理页面中的跨站点脚本漏洞。
- 德勤和阿根廷的卢西亚诺·马丁斯（https://www.deloitte.com.ar）建议改变套接字积压名单清除率。
支持：
- Microsoft 知识库文章Q327696讨论此问题，此公告发布后大约 24 小时可用。 可以在 Microsoft Online 支持网站上找到知识库文章。
- Microsoft 产品支持服务提供技术支持。 与安全修补程序关联的支持调用不收取任何费用。
安全资源：Microsoft TechNet 安全网站提供有关 Microsoft 产品安全性的其他信息。
免责声明：
Microsoft 知识库中提供的信息“按原样”提供，不提供任何形式的担保。 Microsoft 不明确或暗示所有保证，包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下，Microsoft Corporation 或其供应商都应对任何损害负责，包括直接、间接、附带、后果性、业务利润损失或特殊损害，即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任，因此上述限制可能不适用。
修改：
- V1.0 （2002 年 10 月 23 日）：公告已创建。
- V1.1（2002 年 11 月 1 日）：公告已更新为更新确认部分。
构建于 2014-04-18T13：49：36Z-07：00</https：>