微软发布警告称目前已经发现可以利用ASP.NET加密漏洞的攻击。 该漏洞影响微软的.NET framework,该框架几乎在所有的Windows版本上运行。在两名研究员发布Padding Oracle Exploit Tool(可自动找出和利用ASP.NET Web应用程序中的加密padding Oracle漏洞)后不几天,该攻击就开始了。 攻击通过欺骗Web服务器,在服务器返回的错误信息中寻找敏感信息。
Web服务器返回的错误信息可以被攻击者用来破解AES加密。 在微软安全响应中心博客上,微软响应通信组经理Jerry Bryant说微软已确定他们的一些客户的系统正在经历这种攻击。研……
我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。
我原创,你原创,我们的内容世界才会更加精彩!
【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
![TechTarget微信公众号二维码](/wp-content/uploads/res/images/spriteimg/ttweixin.jpg)
TechTarget
官方微博
![TechTarget中国官方微博二维码](/wp-content/uploads/res/images/spriteimg/ttweibo.jpg)
TechTarget中国
微软发布警告称目前已经发现可以利用ASP.NET加密漏洞的攻击。
该漏洞影响微软的.NET framework,该框架几乎在所有的Windows版本上运行。在两名研究员发布Padding Oracle Exploit Tool(可自动找出和利用ASP.NET Web应用程序中的加密padding Oracle漏洞)后不几天,该攻击就开始了。
攻击通过欺骗Web服务器,在服务器返回的错误信息中寻找敏感信息。Web服务器返回的错误信息可以被攻击者用来破解AES加密。
在微软安全响应中心博客上,微软响应通信组经理Jerry Bryant说微软已确定他们的一些客户的系统正在经历这种攻击。研究人员私自泄露该漏洞的可能性不大。
Bryant写道,“和往常一样,我们继续鼓励基于社区的防御。我们认为一旦漏洞详情向公众公布,该漏洞被利用的风险就会大大增加。如果不通过协作来提供安全更新或合适的指南,风险就会扩大。”
OWASP Foundation主席和Web应用程序测试商Aspect Security的CEO Jeff Williams说该漏洞很严重,但是许多开发者和安全团队能修复易受感染的应用程序。ASP.NET应用程序在网络上占Web应用程序的比例为25%到30%,但是现在许多企业在Java 或PHP中开发Web应用程序。
Williams说,“可以想象的是许多其他种类的环境也容易受到这种类型的攻击,所以人们应该意识到这点。但这个问题并不是很难修复的。”
Padding oracle漏洞影响加密的执行,研究社区在2002年就已经了解这个问题。据POET工具的研究者Juliano Rizzo和Thai Duong说,Ruby on Rails和OWASP企业安全API工具包也可能会受到该漏洞的影响。Rizzo在研究论文上写了关于padding攻击技术的文章。
微软安全工程师在安全研究和防御博客上概述了ASP.NET漏洞。并且在博客中发表了可以用来发现易感染的ASP.NET应用程序的脚本。微软在ASP.NET安全咨文中建议用户将Web应用程序返回的错误信息设置为一致的信息,从而增加攻击者使用技术进行攻击的难度。
翻译
相关推荐
-
英特尔AMT是如何绕过Windows防火墙的?
微软研究人员发现一个黑客团伙的文件传输工具可利用英特尔的Active Management Technology来绕过Windows内置防火墙。那么,英特尔AMT是如何绕过Windows防火墙的呢?
-
GhostHook是如何绕过微软PatchGuard的?
GhostHook攻击技术可绕过微软的PatchGuard,不过微软还没有修复这一漏洞。在本文中,专家Michael Cobb解释了这种攻击的工作机制。
-
为何Windows快捷方式文件容易受到攻击?
微软Windows中的一个漏洞可使攻击者在快捷方式文件中自动执行代码,这个攻击的工作原理是什么,如何防范?
-
面对卡巴斯基压力 微软改变防病毒政策
近日微软承诺在未来Windows更新中更改饱受争议的防病毒政策,而卡巴斯基也已经同意撤回针对微软的反垄断诉讼。