Windows漏洞 可導致網路遭劫

| | | | | | 留下回應

    

安全研究員警告，Windows PC取得網路設定的方式有瑕疵，可讓攻擊者劫持整個網路的交通。

安全公司IOActive的研究員在ShnooCon駭客會議上指出，問題起於Windows PC用來取得proxy設定的設計錯誤。攻擊者能藉此進入公司的網路，插入一個惡意的proxy，監視所有交通。

IOActive研究與開發主任Chris Paget在會後表示：「結果是我能在你不知情的狀況下，成為你的代理伺服器。我可以在你的網路放上一個相當於繞道的標示，更改所有交通的方向。」

Paget指出，這是因為Windows PC的IE瀏覽器預設值，是用Web Proxy Autodiscovery Protocol（網路代理自動發現協定，或WPAD）尋找代理伺服器。攻擊者可輕鬆地利用Windows Internet Naming Service（Windows網路命名服務，或WINS）和其他網路服務，如Domain Name System（DNS，網域名稱系統），在網路上註冊一個代理伺服器。Paget說：「當IE啟動，會先詢問網路代理伺服器在哪裡。你只要輕鬆地伸出頭說：我在這裡。」

微軟也在25日發表於TechNet網站的支援文章中承認此一問題。該文寫道：「若某個實體暗中地在DNS或WINS註冊一個WPAD入口…客戶的網路交通可能被導往某個惡意的代理伺服器。」Paget說，若攻擊成功，所有網路交通都將通過惡徒的代理。這代表對方能存取所有資料、更改和操縱資料，執行任何惡意的行動。

但Paget和同僚安全專家Dan Kaminsky都認為，這個問題並不嚴重。唯有造惡徒鎖定的私人網路才可能被攻擊，並非整個網際網路。Paget說：「企業面臨的最大風險會是內部的惡徒。這不值得大規模的恐慌或發佈緊急公告。」

但問題仍須解決。內部的威脅確實存在，此外，由於其他漏洞愈來愈難利用，代理漏洞可能讓惡徒躍躍欲試。Kaminsky說：「緩衝區溢流和其他漏洞已經比以前難用，所以攻擊者對這類的設計問題愈來愈感興趣。」

WPAD的問題並非新聞。微軟曾在7年前修補IE，原因是該瀏覽器若無法在區域網路找到代理伺服器，便會轉向網際網路尋找，讓惡徒得以提供瀏覽器足以引發大型攻擊的設定。這個問題被某個註冊"wpad.org.uk"域名的人利用，他向搜尋的Windows PC提供一個"wpad.dat"檔案和代理資訊。那些PC的使用者最後無論輸入任何網址，都會被導往一個線上拍賣網站。

微軟在其支援文章中列出網路管理員解決WPAD問題的步驟，包括保存靜態WPAD DNS代管名稱和保存WPAD WINS名稱記錄。Paget表示，如此一來，攻擊者的惡意WPAD名稱便無用武之地。（陳智文/譯）