Microsoft IIS 真的如此「不安全」吗?(1)

11/7/2001来源:ASP技巧人气:15995

你的Windows 2000 /Internet Information Server (IIS) 5.0 Web 网站已经架设起来,准备开始运作时,却发现它被安全漏洞所困扰着。安全性方面的漏洞当然可以弥补,但那要看你如何去应对。如果怀有恶意的骇客还没有找到那些看不见的裂缝,这并不意味着你可以高枕无忧。他们可能只是还没有发现到你的网站而已。

那么,这套最先进的操作系统和网络服务器软件怎么可以如此的不完善呢?事实不是这样的。原来有很多安全缺口归因于 Microsoft 在 IIS 中所提供的功能。如果适切的注意到这些属性,它们将允许客制化(customization)的运用,在执行上更具弹性。但是当它们被忽略、误解或不正确的使用时,它们就会成为受攻击的弱点。

这些弱点所造成的影响可以是非常重大的。其中一个能使入侵者完全存取存放在网上的档案文件系统。另一个使入侵者能够看到 Active Server Pages(asp)的原始码。还有一个允许入侵者在网络服务器上执行操作系统命令。

也许这看起来像是 IIS 的问题,这并不意味着其它的网络服务器能够提供比 IIS 更严谨的安全性。Robichaux & Associates 安全顾问暨 Microsoft Technet 的专栏作家 Paul Robichaux 就表示,Windows 2000 系列的网络服务器并不比其它服务器容易受到攻击,几乎所有的服务器都有各自的安全漏洞。

盛名所累成众矢之的

Carnegie-Mellon University 的CERT Coordination Center 是一个致力于提高网络安全、也是网上安全问题的极具指针性的一个网站。这个网站所报导的,是困扰着所有网络服务器和相关产品的安全漏洞议题。

讽刺的是,知名度可能是促使 IIS 5.0 比Apache 等其它服务器更容易暴露安全漏洞的原因。看起来,IIS 作为微软的网络旗舰产品,它的知名度足以吸引许多骇客的注意力。

所以坏消息就是,如果你只是简单地执行 IIS,被骇客盯上的机率会比较大。好消息是,只要充分了解 IIS 并采取适当的保护措施,便可以有效阻止骇客的入侵。但 Robichaux 警告说,修补安全漏洞不像按下一个标有「安全的网站」的按钮那么的简单,保护你的网站可是需要新的技巧和工具。