文章投稿当前位置：主页>站长故事>建站工具>文章:动易2006、科汛v3.X最新漏洞安全更新公告

动易2006、科汛v3.X最新漏洞安全更新公告

来源：中国站长站作者：叶惜波发布时间：2007-02-26 阅读次数：

　　2月26日消息，科汛 v3.X的所有版本都存在严重的安全漏洞，黑客可以通过此漏洞取得WebShell权限。包括动易等cms程序都存在这个漏洞，动易已于2007年2月15日发布临时解决方法。

　　据了解，此安全漏洞是由于Win2003存在着一个文件解析路径的漏洞所致，目前微软官方尚未发布该漏洞补丁。

　　建议广大站长检查自己的网站系统，凡有用户可自主命名文件夹权限的功能，在微软公司的补丁出现之前，建议全部关闭，以免造成更大的损失。

　　相关阅读：

　　漏洞指数：极其严重。黑客可以通过此漏洞取得WebShell权限。

　　影响版本：

　　动易2006 所有版本（包括免费版、商业SQL版及Access版），正式版、SP1、SP2、SP3、SP4、SP5都受此影响。

　　科汛v3.X的所有版本都受此影响。

　　漏洞描述：因为Win2003存在着一个文件解析路径的漏洞，当文件夹名为类似a.asp的时候（即文件夹名看起来像一个ASP文件的文件名），此时此文件夹下的文本类型的文件都可以在IIS中被当做ASP程序来执行。这样黑客即可上传扩展名为jpg或gif之类的看起来像是图片文件的木马文件，通过访问这个文件即可运行木马。因为微软尚未发布这个漏洞的补丁，所以几乎所有网站都会存在这个漏洞。关于此漏洞的文章，大家可以查看这里：http://www.gimoo.net/technology/ld/200409/164629.shtml

　　郑重声明：在了解了此漏洞后，请勿攻击他人！否则你将可能会受到法律的惩罚！

　　动易2006版本解决方法：

　　临时解决方法：删除Space文件夹（临时），删除User/User_Space.asp文件。

　　科汛v3.X解决方法：

　　1、删除upfiles/user/目录下含有.asp为扩展名的文件夹，并删除含有.asp的注册用户

　　2、下载补丁文件上传覆盖

　　补丁文件：点此下载

　　说明：2007=2-26后在官方站下载的已打上补丁

　　小经验：

　　扩展名为jpg/gif的木马检查方法：

　　在资源治理器中使用具体资料方式，按类别查看。点“查看”菜单－－“选择具体信息”－－勾选上“尺寸”，确定。此时，正常的图片文件会显示出图片的尺寸大小，没有没有显示，则99%可以肯定是木马文件。用记事本程序打开即可100%确定。