|
马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。
您需要 登录 才可以下载或查看,没有帐号?立即注册
x
楼上说交互性不好,太牵强了吧。在微软提供的一套框架中,利用asp做网站,开发效率高,使用人数少,减少不必要的开销。交互性是互动方式,是有开发人员决定的。打击
http://www.wiretrip.net/rfp/
相干内容:
-1.成绩
-2.办理办法
-3.情势
-4.一切相干资本
假如你没偶然间来读完本文,那末你所必要做的就是删除这个文件:
?:ProgramFilesCommonFilesSystemMsadcmsadcs.dll
最敏捷和最完全的作废对RDS的撑持。(可是假如你的确必要RDS,那末你最好往下读)
----------------------------------------------------------------------
-
----[1.成绩
RDS打击不是一个复杂的成绩,固然IIS4.0存在很多林林总总的平安毛病,
可是微软历来没无为统一个平安毛病公布过云云多的补钉程序,一共是公布了三个分歧的补钉程序,可是RDS仍旧存在成绩。
以是我们必要的是真正把握甚么是RDS。然后你就会晓得怎样来本人修补
这个成绩。这个成绩从基本上说,是因为Jet3.5同意挪用VBA的shell()函数酿成的。
该函数同意你实行外壳命令,详细的历程我想仍是不具体先容了。
如今的成绩是,IIS4.0默许的情形下是安装有MDAC1.5的,它包括有RDS,
从而同意经由过程扫瞄器远程会见ODBC组件,详细的完成是经由过程一个位
于/msadc/msadcs.dll
的特定的dll文件来完成的。如今你应当能够分明,成绩实际上是由两部分构成。实在另有个“圈外人”,那就是跟从RDSSDK包安装附带的例子程序组件VbBusObj,它能够同意你
饶过那些就是已安装了微软公布的RDS补钉的情形。
上面将分离就下面三种情形做具体的办理计划形貌。
----[2.办理计划
成绩是今朝有很多种办法来办理,同时这些办法还能够被分歧的组合利用。
在这里只管形貌具体。
-办理计划#1:移走cmd.exe(ULG保举的补钉办法)
http://www.aviary-mag.com/News/Powerful_Exploit/ULG_Fix/ulg_fix.html
我保举ULG的办理办法,固然该办法仍旧存在成绩。由于固然mdac.pl是利用了
cmd.exe
来完成RDS打击的,可是,要晓得
CMD.EXE并非RDS打击办法的独一完成路子
-办理计划#2:晋级MDAC1.5到2.0
MDAC2.0将Jet3.5晋级到Jet3.52。可是仍旧存在VBAshell()打击成绩(而这刚好是
RDS打击的需要前提),而且默许情形下仍是撑持利用RDS的。现实上,就是你删除RDS体系仍是会从头安装的,个中一些应当注重的事变是:
*默许的Jet引擎酿成了3.52(仍旧有平安毛病)
*同意自界说处置(能够办理匿名RDS利用成绩)
*天生Microsoft.Jet.OLEDB.3.51*供应
注重这类办理办法,它的默许设置不长短常好。你必要修正注册表来限定自界说利用RDS处置。注册表中地位是:
HKEY_LOCAL_MACHINESoftwareMicrosoftDataFactoryHandlerInfo
Keyname:HandlerRequired
Value:DWORD:1(safe)or0(unsafe)
保举是将它的数值改成1。这实在也是利用微软供应的补钉handsafe.exe/.reg完成的。
如今,你能够回护你的体系不被远程RDS打击了,可是你仍旧存在被ODBC其他体例打击的大概性,
包含Excel,Word,和Access木马文件等。以是这个办理计划也有一些不敷。
-办理计划#3:晋级你的MDAC1.5到2.1
MDAC2.1将Jet3.5晋级到Jet4.0引擎,这个引擎不存在RDS打击平安毛病。
可是同时也印证了一个亘古稳定的法例,器材越平安它的兼容功能也就越差,
因为3.5和4.0之间存在太年夜的差别,很多人不肯意为了这些兼容功能而晋级。
由于一旦晋级后很多如今正在利用的程序将完整不克不及够利用。详细细节是:
*默许的数据库引擎为Jet4.0(没有这个平安毛病)
*撑持自界说处置(能够克制匿名利用RDS)
可是,自界说处置默许的情形下并非利用的。你一样必要象下面一样来修正注册表。
-办理计划#4:晋级你的MDAC1.5到2.0,然后再到2.1
如今,假如你是一个优异的办理员,你应当包管你一向晋级你的体系。假如你常常晋级,就应当从命按按次晋级的序次。固然一样你必要修正注册表使
能HandlerRequired
,一样因为利用了2.1的Jet4.0(没有毛病)作为默许的数据库引擎。可是因为你是经由过程
从2。0的晋级,以是你将具有Microsoft.Jet.OLEDB.3.51.
这意味着你的使用程序(包含RDS)对数据库的挪用情形都可以被日记纪录上去。而那些
老版本的OLEDB是完成不了的。
你应当从注册表中将老的hooks/providers数值往失落。一个办法是删除上面的键值出口:
HKEY_CLASSES_ROOTMicrosoft.Jet.OLEDB.3.51
HKEY_CLASSES_ROOTMicrosoft.Jet.OLEDB.3.51Errors
可是,你仍旧必要面临的成绩是兼容功能成绩。
-办理计划#5:安装JetCopkg.exe(见微软公布的平安通告MS99-030)
JetCopkg.exe是一个修正过的Jet3.5引擎,它加强了更多的平安特征来避免被打击。
它次要是对注册表中以下键值的修正:
HKEY_LOCAL_MACHINESoftwareMicrosoftJet3.5enginesSandboxMode
它的值以下:
0克制统统
1使能会见ACCESS,可是克制别的
2克制会见ACCESS,可是使能其他
3使能统统
(具体的注释能够参考
http://support.microsoft.com/support/kb/articles/q239/1/04.asp)
值得注重的是,默许的同意修正键值权限是不平安的。你必需只可以让有权限的
帐号才干够修正该键值。否则该键值会带来良多平安上的隐患。牢记,牢记。
只需将键值该成2或则3就能够将统统对RDS的打击回绝了。以是,这个办理计划是最好的。
而且因为它仍旧利用的是Jet3.5引擎,以是你不必忧虑兼容功能的成绩。而且同时你仍是能够
利用RDS的,固然已不克不及够再利用RDS举行打击了,可是成绩是匿名利用RDS仍是会将你的数据库中的信息给
保守进来的。以是你必要对RDS有较深切的编程基本,我能够倡议你克制利用RDS或则将ODBC晋级到
MDAC2.0,如许你就能够只让有权限的人才网可以利用RDS,而回绝匿名用户利用。
-办理计划#6:删除/克制RDS功效
就是我在本文最入手下手的地位提到的办法,删除上面这个文件:
?:ProgramFilesCommonFilesSystemMsadcmsadcs.dll
就是它供应了RDS的挪用接口。上面是一些更具体完全扫除RDS(假如你确信你的网站不必要该功效的话)的步骤:
*从IIS把持台删除/msadc假造目次
*删除上面的注册表键值:
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesW3SVCParameters
ADCLaunch
*删除上面这个文件目次
?:ProgramFilesCommonFilesSystemMsadc
----[3.情形
-情形#1:我的确必要RDS
起首你必要晋级你的体系到MDAC2.0。记着别忘了安装JetCopkg,大概你间接晋级到MDAC2.1.
确保你修正了HandlerRequired注册表中的数值,注释见上。同时确保你已删除一切的
RDS的例子程序。同时作废匿名帐号对/msadc目次的会见权限,而利用自界说帐号来举行处置。
具体的步骤能够参考:
http://www.microsoft.com/Data/ado/rds/custhand.htm
假如你对英文伤风的话,也能够参考我宣布在joyASP精髓区中的怎样自界说处置RDS的文章。
-情形#2:我仍是想利用那些例子该怎样办?
那末独一的办法就是你必需克制匿名帐号对RDS的会见权限。可是例子中的
VbBusObjcls会跳过自界说
会见的限定,假如例子是安装在
?:ProgramFilesCommonFilesSystemMsadcSamples
的话,那末你应当依照上面的步骤来办理:
*删除上面这个目次下一切的器材
?:ProgamFilesCommanFilesSystemMsadcSamples
*删除注册表中的键值
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesW3SVCParameters
ADCLaunchVbBusObj.VbBusObjCls
----[4.一切相干资本
-官方Jet3.5晋级文件(i386)
http://www.wiretrip.net/rfp/bins/msadc/jetcopkg.exe
http://officeupdate.microsoft.com/isapi/gooffupd.asp?
TARGET=/downloaditems/JetCopkg.exe
-Microsoft数据库会见主页
http://www.microsoft.com/data/
-MDAC2.1.2.4202.3(GA)(akaMDAC2.1sp2)晋级版本(i386)
http://www.wiretrip.net/rfp/bins/msadc/mdac_typ.exe
http://www.microsoft.com/data/download_21242023.htm
-MDAC2.1.1.3711.11(GA)(akaMDAC2.1sp1)hotfix
http://www.microsoft.com/data/download/jetODBC.exe
-MDAC2.1
http://www.microsoft.com/data/MDAC21info/MDAC21sp2manifest.htm
-MDAC2.1安装罕见成绩
http://www.microsoft.com/data/MDAC21info/MDACinstQ.htm
-RDS1.5,IIS3.0or4.0,和ODBC中的平安成绩
http://support.microsoft.com/support/kb/articles/q184/3/75.asp
-未受权会见ODBCDataAccess的RDS平安通告(MS99-004)
http://www.microsoft.com/security/bulletins/ms98-004.asp
-平安通告MS99-004(MS99-025)
http://www.microsoft.com/security/bulletins/ms99-025.asp
-MS99-025罕见成绩
http://www.microsoft.com/security/bulletins/MS99-025faq.asp
-MS99-30:官方ODBC平安毛病补钉年夜全
http://www.microsoft.com/security/bulletins/ms99-030.asp
-Jet引擎能够实行不平安的VBA函数
http://support.microsoft.com/support/kb/articles/q239/1/04.asp
-怎样完成自界说利用RDS2.0
http://www.microsoft.com/Data/ado/rds/custhand.htm
-平安修正注册表补钉
http://www.wiretrip.net/rfp/bins/msadc/handsafe.exe
http://www.microsoft.com/security/bulletins/handsafe.exe
-RFP9901:NTODBC远程会见毛病
http://www.wiretrip.net/rfp/p/doc.asp?id=3&iface=2
-RFP9902:RDS/IIS4.0平安毛病及损坏
http://www.wiretrip.net/rfp/p/doc.asp?id=1&iface=2
-RDS打击(msadc.plv1andv2)
http://www.wiretrip.net/rfp/p/doc.asp?id=16&iface=2
-ULG保举的补钉办法
http://www.aviary-mag.com/News/Powerful_Exploit/ULG_Fix/ulg_fix.html
-CERT通告
http://www.cert.org/current/current_activity.html#0
-Attrition通告
http://www.attrition.org/mirror/attrition
ASP.NET和ASP的比较,技术上比较已经没什么可说的了.新一代在大部分程度来说当然是比旧一代好了.关键看你对所做软件的理解了.因人而定.会写的话也可能比ASP.NET写得更有效率和更方便重用 |
|