CSDN博客

img sdly

目录横穿“(Ttaversal)”问题的解决办法

发表于2001/8/2 17:49:00  621人阅读


 



最近一周,在BugTraq的Internet 邮件列表中报告了 “Domino 服务器目录‘横穿’(Traversal)缺陷”,经证实这确实是一个问题,R5.06a正在修复。应敦促在Domino服务器上运行HTTP服务器任务的客户在R5.06a完成后立即升级。与此同时,下面是简单的应对方法。

Q&A

Q:“目录‘横穿’(Traversal)”缺陷的实质是什么?
A:给出已知路径和文件名,就能够访问到运行HTTP任务的Domino服务器上的文件。这受安装Domino服务器的文件系统(或驱动器)的限制。你不可能浏览文件系统,但如果能够猜出当前文件名,就能够访问它。

Q:影响哪些Domino版本?
A:R5.0 - R5.06 不影响R4x

Q:我如何跟踪这个问题?
A:软件问题报告(SPR)的编号为KSPR4SPQ5S。问题修复后就会列入Notes.net上的修复列表(Fix List)数据库----www.notes.net/R5FixList.nsf

Q:Lotus计划如何解决这个问题?
A:Lotus 高度重视这个问题,修复版正在测试中。修复计划在R5.06a中进行,并且一旦修复版完成就会放到http://www.notes.net上。

Q:是否有应对办法?
A:有。在R5.06a完成以前,推荐使用以下应对方案:

1.打开Administration Client
2.选择希望配置的服务器
3.在“配置”标签页的“服务器”区段中,选择当前服务器文档
点击“Web”按钮
选择“创建URL 映射/重定位文档”
4.在URL重定位文档中
在“基本”标签页选择URLà重定位URL
在“映射”标签页
输入的 URL: *..*
重定位 URL: [指定你希望用户重定位到的URL,例如
http://hostname/homepage.nsf
http://hostname/message.html]
注意:指定的URL必须是外部的重定位,而不能是内部的重定位。因此,http://myserver/message.html是有效的,而/message.html是无效的。
5.保存文档
6.重起HTTP任务


Q: 影响哪些操作系统?
A: 代码修复并不特别针对哪个操作系统。Lotus QE 在Windows NT/2000,OS/2,WinNT Alpha 等平台上重现了这个问题。QE 无法在Unix ,Linux,AS/400或S/390上重现此问题,但客户不应当就认为这些系统难于攻击。这可能仅仅是因为这些系统有更加严格的文件系统许可设置。

Q: 如果不将Domino作为Web服务器,是否还存在这个问题?
A: 不存在。这个问题是特别针对运行HTTP任务或Domino for IIS的Domino系统的。

Q: 是否影响QuickPlace?
A: 是的。Lotus 正在计划推出R2.06a以解决这个问题。QuickPlace服务器的Administrator也应当实施URL重定位的应对方案。

Q: 如果不采用Notes Client管理Domino服务器,是否有其它应对方案?
A: 可以在 httpd.cnf文件中加入下列内容,执行类似的URL重定位。
Map *..* /filename.nsf

Q: 有人推荐采用文件保护文档作为应对方法。Lotus 认为如何?
A: 文件保护文档并不能解决这个问题的所有可能的出现。客户应当代之以回应中推荐的URL重定位文档。另外,强烈推荐客户在R5.06a完成后立即升级。

Q: BugTraq 的报告中声称R4.67也被影响了,是吗?
A: Lotus QE无法在任何R4.x版本上重现这个问题。

Q: R5.06a何时能够完成?
A: 一旦版本的回归测试完成,R5.06a就会放到http://notes.net上。

Q: 其它版本(例如R5.04或R5.05)是否会有QMU(Quarterly Maintenance Unit)?
A: 客户需要升级到R5.06a。

Q: 如果应用中使用带有“..”的URL,这种应对方法是否会中断这些应用?
A: 测试表明应用代码中的URL仍然是有效的。只有当用户在浏览器中直接键入带有“..”的URL时,重定位才会发生。这是唯一Lotus推荐的应对方案。

Q: 如果运行虚拟服务器,是否需要问每一个虚拟服务器都创建一个URL重定位文档?
A: 不需要。如果在文档中不特别指定一个IP地址,重定位将作用于机器上的所有虚拟服务器。

Q: 是否所有浏览器都能重现此错误?
A: 不是。只有某些浏览器发生了这样的问题。但是,这只说明一些用户重现这个问题有困难。因此仍然应该对所有Domino Web Server实施应对方案和升级。

Q: 是否还可以采取其它措施以降低出现这种缺陷的机会?
A: 下面的列表并不全面,但是一些快速的措施:
用口令保护Server id
以一个唯一的文件名重命名Server id
用Server 的id本地加密系统数据库(以及其它名字容易被猜到的数据库)
在隔离的文件系统中存储Domino目录
在服务器文档中禁止目录浏览

欲获得更多加强系统安全性的信息,请参看以下资料:
IBM红皮书,“Notes and Domino R5 Security Infrastructure Revealed”
http://notes.net的Iris Today 中发布的有关安全机制的文章
http://www.lotus.com/security Lotus Security Zone网站上的白皮书

0 0

相关博文

我的热门文章

img
取 消
img