科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道企业网络防范Serv-U的漏洞

企业网络防范Serv-U的漏洞

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

Serv-U在处理LIST命令时对参数处理不正确,黑客可用这个漏洞对程序进行拒绝服务攻击,一旦提交超长字符串,可触发缓冲区溢出,导致服务程序崩溃。

作者:李汉强 来源:巧巧读书 2008年7月17日

关键字: Serv-U 网络管理 网络管理软件

  • 评论
  • 分享微博
  • 分享邮件
  一、安全须知

  很多企业都将自己的网站建立在互联网上,日常有专门的维护人员进行维护,很多时候对网站的更新当然不是直接在服务器上操作,而是将要更新的网页页面通过FTP工具上传到服务器上实现。因此必须要在服务器上搭建起一个FTP系统。

  一般来说,Windows系统自带的FTP使用不方便,安全性不高而且一般使用的人也很少,借用第三方软件来实现。在众多的FTP工具当中Serv-U是一个非常热门的软件,由于功能强大安全性高而被广泛使用,目前已经出到了Serv-U 5.0以上的版本。

  二、防范措施

  漏洞一:使用大容量文件攻击

  在安装好FTP软件后,首先需要添加自己的域,然后在域上添加FTP的登录用户,当添加用户后,软件一般默认没有对添加的用户进行文件上传、下载的速率进行设置,因此这样一来就有被攻击的隐患,那就是黑客会利用这个漏洞对FTP软件发送大容量的文件,然后导致FTP处理不过来而造成程序没响应或者自动关闭。

  在“常规”中能看到“最大上传速度、最大下载速度(KB/秒)”的选项。我们一般默认是不填的,建议用户设置一个具体的数字来限制这个速度。

  同时,最好把在“空闲超时、任务超时、最大用户数”的选项上也设置一个具体的数值。一般地,默认10分钟就足够了。而最大用户数尽可能的限制在1~2个用户,不必要采取无限制用户的做法。

  漏洞二:缓冲区溢出攻击

  客户端使用“MDTM”命令的参数时缺少正确的缓冲区边界检查,可以利用这个漏洞对软件进行缓冲区溢出攻击,从而在系统上执行任意指令。“MDTM”命令目的是为了用户今天更改文件时间。如果客户端发送畸形超长的时区数据作为命令参数,可触发缓冲区溢出,从而能在系统上执行任意命令。不过此漏洞要用户使用已存在的账户登录。

  解决这个问题,首先你需要打开Serv-U软件,在你建立的域上“设置→高级”,将设置窗口中“允许MDTM命令来更改文件的日期/时间”的选项取消,目的是不允许用户更改文件的修改日期和时间防止触发缓冲区溢出。

  其次是Serv-U在处理LIST命令时对参数处理不正确,黑客可用这个漏洞对程序进行拒绝服务攻击,一旦提交超长字符串,可触发缓冲区溢出,导致服务程序崩溃。目前解决此问题的最有效的方式是通过到http://www.serv-u.com下载补丁。目前Serv-U的升级版本的推出并不是很多,高版本的肯定要比低版本的漏洞要少。因此这里建议还在使用低版本软件的用户尽快升级到最新版本,减少因为漏洞带来的危险。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章