Comments on: [Chinese]针对MS08-067,你准备好了吗？ http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/ Technologies and comments on cloud and telecom security, bridging China and the world! Mon, 05 Mar 2012 09:33:01 +0000 hourly 1 http://wordpress.org/?v= By: Richard http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33485 Richard Tue, 04 Nov 2008 01:24:51 +0000 http://sbin.cn/blog/?p=540#comment-33485 Symantec 在今天2008-11-03公布的监测的病毒列表中，新增了w32.wecorl, w32.kernelbot.A两种通过ms08-067传播的病毒。这两种病毒都会通过扫描tcp 139端口，在局域网内传播，继续保持警惕！ Symantec 在今天2008-11-03公布的监测的病毒列表中，新增了w32.wecorl, w32.kernelbot.A两种通过ms08-067传播的病毒。这两种病毒都会通过扫描tcp 139端口，在局域网内传播，继续保持警惕！

]]> By: Richard http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33424 Richard Wed, 29 Oct 2008 15:28:56 +0000 http://sbin.cn/blog/?p=540#comment-33424 http://www.4shell.org/archives/524.html 通常在溢出成功后目标主机的监听端口为4444，其对应的PID为840(随机)。毫无疑问它应该和某个系统服务相对应，输入tasklist /svc后发现其对于的进程是svchost.exe。该进程在系统中有多个，但PID为840的这个svchost.exe进程是一个宿主进程，其中包含了诸如lanmanserver, lanmanworkstation, Netman等多个系统服务。 那到底是哪个系统服务触发了该漏洞呢?测试，当Computer Browser、Server、Workstation这三个系统服务中的任何一个服务被关闭后，用MS08067.exe进行溢出测试均失败 通过上面的测试，可见是这三个系统服务造成了MS08-067漏洞，这和微软的漏洞说明“Server服务在处理RPC请求过程中存在的一个严重漏洞”不谋而合。那么这三个服务都是干什么的，相互之间有什么关系呢?server是Windows系统的一个重要服务，其主要作用是“支持此计算机通过网络的文件、打印、和命名”。而 　　Computer Browser服务的作用是“维护网络上计算机的更新列表，并将列表提供该计算机指定浏览”与server是依存关系。另外，Workstation服务的作用是“创建和维护到远程服务的客户端网络连接”，与Computer Browser是依存关系。上面的分析为我们预防MS08-067漏洞提供了一条思路。 漏洞预防 　　(1)、最彻底的措施是，通过第三方工具下载KB958644补丁包打上该漏洞补丁。 　　(2)、如果用户对微软的补丁存有戒心可以采取变通的措施，将Computer Browser、Server、Workstation这三个系统服务关闭，毕竟这三个服务在大多数情况下是用不到的。 http://www.4shell.org/archives/524.html

通常在溢出成功后目标主机的监听端口为4444，其对应的PID为840(随机)。毫无疑问它应该和某个系统服务相对应，输入tasklist /svc后发现其对于的进程是svchost.exe。该进程在系统中有多个，但PID为840的这个svchost.exe进程是一个宿主进程，其中包含了诸如lanmanserver, lanmanworkstation, Netman等多个系统服务。

那到底是哪个系统服务触发了该漏洞呢?测试，当Computer Browser、Server、Workstation这三个系统服务中的任何一个服务被关闭后，用MS08067.exe进行溢出测试均失败

通过上面的测试，可见是这三个系统服务造成了MS08-067漏洞，这和微软的漏洞说明“Server服务在处理RPC请求过程中存在的一个严重漏洞”不谋而合。那么这三个服务都是干什么的，相互之间有什么关系呢?server是Windows系统的一个重要服务，其主要作用是“支持此计算机通过网络的文件、打印、和命名”。而

　　Computer Browser服务的作用是“维护网络上计算机的更新列表，并将列表提供该计算机指定浏览”与server是依存关系。另外，Workstation服务的作用是“创建和维护到远程服务的客户端网络连接”，与Computer Browser是依存关系。上面的分析为我们预防MS08-067漏洞提供了一条思路。

漏洞预防

　　(1)、最彻底的措施是，通过第三方工具下载KB958644补丁包打上该漏洞补丁。

　　(2)、如果用户对微软的补丁存有戒心可以采取变通的措施，将Computer Browser、Server、Workstation这三个系统服务关闭，毕竟这三个服务在大多数情况下是用不到的。

]]> By: Richard http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33421 Richard Tue, 28 Oct 2008 12:27:02 +0000 http://sbin.cn/blog/?p=540#comment-33421 今天和几位同行朋友聊了一下，有移动的朋友，有大型证交所的朋友，还有其他的大型企业，至今似乎还没有看到明显的MS08-067蠕虫的杀伤力。我这边的Daily update看进展也比较顺利。不管怎么说，大型企业的安全都是统计意义上的安全，不对吗？ 今天和几位同行朋友聊了一下，有移动的朋友，有大型证交所的朋友，还有其他的大型企业，至今似乎还没有看到明显的MS08-067蠕虫的杀伤力。我这边的Daily update看进展也比较顺利。不管怎么说，大型企业的安全都是统计意义上的安全，不对吗？

]]> By: 老臧 http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33420 老臧 Tue, 28 Oct 2008 10:39:20 +0000 http://sbin.cn/blog/?p=540#comment-33420 老大哥了,呵呵 老大哥了,呵呵

]]> By: Richard http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33419 Richard Tue, 28 Oct 2008 06:27:04 +0000 http://sbin.cn/blog/?p=540#comment-33419 呵呵，我是物理系87级的。 呵呵，我是物理系87级的。

]]> By: 老臧 http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33418 老臧 Tue, 28 Oct 2008 06:09:05 +0000 http://sbin.cn/blog/?p=540#comment-33418 收到 呵呵,你哪一界的? 我是准备再过去学点东西 收到

呵呵,你哪一界的?

我是准备再过去学点东西

]]> By: Billy http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33417 Billy Tue, 28 Oct 2008 05:28:17 +0000 http://sbin.cn/blog/?p=540#comment-33417 http://www.antiy.com/cn/security/2008/MS08067.htm MS08-067漏洞预警通告（A级）by 安天实验室网络安全研究与应急处理中心（Antiy CERT） http://www.antiy.com/cn/security/2008/MS08067.htm

MS08-067漏洞预警通告（A级）by 安天实验室网络安全研究与应急处理中心（Antiy CERT）

]]> By: Richard http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33416 Richard Tue, 28 Oct 2008 01:53:20 +0000 http://sbin.cn/blog/?p=540#comment-33416 到目前为止，利用程序已经在互联网上大规模扩散开来，所有没有打过补丁的Windows服务器和工作站，如果没有打开防火墙，就成为“不设防”城市了。其实，在某种意义上说，微软和Windows已经成为全球经济的一个潜在的单一故障点SPOF. 到目前为止，利用程序已经在互联网上大规模扩散开来，所有没有打过补丁的Windows服务器和工作站，如果没有打开防火墙，就成为“不设防”城市了。其实，在某种意义上说，微软和Windows已经成为全球经济的一个潜在的单一故障点SPOF.

]]> By: 老臧 http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33415 老臧 Tue, 28 Oct 2008 01:31:23 +0000 http://sbin.cn/blog/?p=540#comment-33415 让漏洞来的更多些吧... 让漏洞来的更多些吧…

]]> By: 鬼仔 http://sbin.cn/blog/2008/10/27/ms08-067-are-you-ready/comment-page-1/#comment-33414 鬼仔 Mon, 27 Oct 2008 04:58:50 +0000 http://sbin.cn/blog/?p=540#comment-33414 我路过的。。 我路过的。。

]]>