Instalación segura de Internet Information Server
[27-10-01]
Dado que algunos de los gusanos más importantes de los últimos meses han aprovechado vulnerabilidades conocidas en Internet Information Server para realizar infecciones, hoy vamos a explicar algunos consejos para prevenir este tipo de ataques.
Los gusanos llevan a cabo agresiones en las que se da por supuesto que la instalación y configuración de Internet Information Server es la predeterminada. Así, por ejemplo, las vulnerabilidades más explotadas consisten en realizar peticiones HTTP al servidor web para escalar directorios fuera del ámbito público y llegar hasta los archivos de sistema.
Por defecto, la raíz del servidor web se instala en "c:\inetpub\wwwroot", por lo que para conseguir acceder a la raiz del sistema habría que explotar una vulnerabilidad con una petición HTTP que cuente con "..\..\", de manera que escalaría dos directorios y se situaría en C:\. Desde ahí podría intentar llegar al intérprete de comandos para ejecutar alguna acción (mediante una petición tipo "..\..\winnt\system32\cmd.exe").
Para poder llevar a cabo la escalada de directorios es necesario que el servidor tenga alguna vulnerabilidad conocida, de ahí que la primera medida de seguridad sea mantenerlo puntualmente actualizado. Como medida preventiva también podrá realizarse una instalación de Internet Information Server personalizada, para así modificar la ubicación por defecto de los directorios.
Otra buena práctica es separar el sistema operativo y el directorio web en particiones distintas. Así, por ejemplo, puede dejarse el sistema operativo - Windows NT ó 2000- en la partición C:\, y alojar todo el contenido del web en la partición X:\. De esta forma, si un gusano logra explotar alguna vulnerabilidad y escalar directorios con una petición tipo "..\..\winnt\system32\cmd.exe", no conseguirá ejecutar los comandos para infectar al sistema, ya que estará intentando ejecutar "cmd.exe" en la partición X:\ cuando, en realidad, se encuentra en C:\.
Artículos de actualidad ...
Archivo de artículos ...
|
