در بخش چهارم اين مقاله به بررسي نقاط آسيب پذير MDAC و WSH ، خواهيم پرداخت .

ششمين نقطه آسيب پذير : ( Microsoft Data Access Components (MDAC

MDAC ، شامل مجموعه اي از تکنولوژي هاي مرتبط با بانک اطلاعاتي است که در تعدادي از نسخه هاي اخير ويندوز، بکارگرفته شده است . مهاجمان با استفاده از نقاط آسيب پذير MDAC ، تاکنون حملات متعددي را در اين رابطه سازماندهي و توانسته اند از سيستم هاي آسيب پذير در جهت اهداف خود ( اجراء کد و دستورات مخرب ) استفاده نمايند . حملات فوق ، مي تواند دلايل متعددي داشته باشد ولي مي توان به دو عامل اصلي در اين زمينه اشاره نمود : استفاده از رويکردهاي قديمي ( نظير RDS ) و وجود مسائل جديد در محصولات ارائه شده که يک مهاجم را قادر مي سازد با ايجاد يک buffer overflow ، تمامي سيستم را بمخاطره اندازد .
RDS که از کلمات Remote Data Services اقتباس شده است ، نسخه قديمي MDAC بوده و داراي يک ضعف امنيتي است که کاربران از راه دور را قادر مي سازد ، دستوراتي را بصورت محلي بهمراه مجوزها و امتيازات مديريتي، اجراء نمايند.با ترکيب ضعف فوق بهمراه ضعف امنيتي موجود در Microsoft Jet Database Engine 3.5 ( بخشي از MS Access ) ، آسيب پذيري سيستم افزايش و زمينه تهديدات متعددي فراهم مي گردد( دستيابي به بانک هاي اطلاعاتي ) .ضعف ها و مشکلات فوق ، بطور کامل شناخته شده و بيش از سه سال است که مستندات لازم بمنظور مقابله با آنان تهيه و ارائه شده است . وجود سيستم هاي قديمي که هنوز خود را با آخرين وضعيت موجود بهنگام نکرده و يا عدم پيکربندي مناسب سيستم ها ، از دلايل اصلي آسيب پذيري سيستم ها ي موجود مي باشد .
مهاجمان تاکنون با استفاده از ضعف فوق ،حملات متنوعي را سازماندهي و به سرانجام رسانده اند . يکي ازحملات اخير در اين رابطه ، بدليل Buffer Overflow در MDAC بوده که در بولتن ( خبرنامه ) امنيتي شماره MS03-033 مايکروسافت به آن اشاره شده است . نسخه MDAC در ويندوز 2003 ، داراي اين نقطه آسيب پذير نمي باشد .

سيستم هاي عامل در معرض تهديد

اکثر سيستم هاي ويندوز NT 4.0 که بر روي آنان نسخه هاي سه و يا چهار برنامه IIS ، ويژوال استوديو شش و يا RDS 1.5 ، نصب شده باشد ، داراي ضعف امنيتي فوق مي باشند. ويندوز 2000 و XP همانند سيستم هائي که بر روي آنان آفيس 2000 ( بهمراه SP1 ) ، نسخه SQL Server 7 ( که بر روي آنان SP2 و به بعد نصب شده است ) ، SQL Server 2000 از MDAC استفاده مي نمايند . همانگونه که مشاهده مي شود، اکثر نسخه هاي ويندوز داراي نقطه آسيب پذير فوق مي باشند .

نحوه تشخيص آسيب پذير ي سيستم

درصورتيکه بر روي کامپيوتري ويندوز NT 4.0 بهمراه IIS نسخه سه ويا چهار نصب شده باشد ، مي بايست بررسي لازم در خصوص وجود فايل "msadcs.dll" انجام شود( فايل فوق،عموما" در آدرس C:\Program Files\Common Files\System\Msadc\msadcs.dll ، قرار دارد، آدرس فوق ممکن است با توجه به پيکربندي سيستم متفاوت باشد). در صورتيکه سيستم مورد نظر شامل فايل فوق باشد ، بهنگام سازي و يا Patching سيستم ، منطقي ترين کاري است که مي توان انجام داد.در صورت وجود نرم افزارهاي قديمي و سيستم هاي عامل اشا ره شده، سيستم در معرض تهديد و آسيب قرار خواهد داشت. بمنظور آگاهي از جزيئات لازم در خصوص نقاط آسيب پذير اخير MDAC مي توان از بولتن امنيتي شماره MS03-033مايکروسافت استفاده نمود . در ايـن رابطه مي توان از Windows Update نيز بمنظور تشخيص آسيب پذيري سيستم ، استفاده نمود. امکان فوق ، بررسي لازم در خصوص نرم افزارهاي نصب شده بر روي ماشين را انجام و متناسب با شرايط موجود اقدام به بهنگام سازي نرم افزارها خواهد نمود.

نحوه حفاظت در مقابل نقطه آسيب پذير

در رابطه با ضعف هاي RDS ، Jet و نحوه تصحيح و مقابله با آنان مي توان از آدرس http://www.wiretrip.net/rfp/txt/rfp9907.txt استفاده نمود. مايکروسافت نيز در اين رابطه چندين بولتن ( خبرنامه ) امنيتي را منشتر که در آنان نحوه برخورد وحفاظت در مقابل اين نقطه آسيب پذير نشريح شده است .
http://support.microsoft.com/support/kb/articles/q184/3/75.asp
http://www.microsoft.com/technet/security/bulletin/ms98-004.asp
http://www.microsoft.com/technet/security/bulletin/ms99-025.asp
http://www.microsoft.com/security/security_bulletins/ms03-033.asp
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-033.asp
http://support.microsoft.com/default.aspx?scid=kb;en-us;823718
بمنظور برخورد با ضعف امنيتي فوق ، مي توان MDAC موجود را به نسخه MDAC ver 2.8 ، ارتقاء داد . آخرين نسخه MDAC و ساير عناصر مرتبط با بانک هاي اطلاعاتي را ميتوان از طريق آدرس http://msdn.microsoft.com/library/default.asp?url=/downloads/list/dataaccess.asp مشاهده و دريافت نمود. در ايـن رابطه مي توان از Windows Update نيز استفاده نمود.

هفتمين نقطه آسيب پذير : (Windows Scripting Host (WSH

WSH ، تکنولوژي ارائه شده توسط مايکروسافت بمنظور افزايش عملکرد وتوانائي هاي ويندوز مي باشد .تکنولوژي فوق ، از جاوا اسکريپت و VBScript حمايت و اولين مرتبه بهمراه IEنسخه پنج ارائه ودرادامه بعنوان يک استاندارد بهمراه ساير نسخه هاي سيستم عامل ويندوز ارائه گرديد( آغاز آن با ويندوز 98 همراه بوده است ) . تکنولوژي WSH ، امکان دستيابي به پوسته ويندوز ، سيستم فايل ، ريجستري و ساير موارد ديگر را با استفاده از کدهاي ساده اسکريپت فراهم مي نمايد( پتانسيل هاي فوق در جهت اتوماسيون عمليات ويندوز ارائه شده است ) . اسکريپت ها مي توانند مستقيما" از طريق Desktop و با کليک نمودن بر روي يک فايل اسکريپت و يا از طريق يک برنامه اجراء گردند ( نظير يک برنامه سرويس گيرنده پست الکترونيکي ) .
ويژگي اجراء اتوماتيکWSH ، عامل اصلي عرضه و انتشار کرم ILOVEYOU ( کد نوشته شده توسط VBScript ) در ساليان گذشته بوده که باعث ميليونها دلار خسارت گرديد.کرم فوق و ساير کرم هائي که پس از آن مطرح گرديدند ، بمنظور نيل به اهداف مخرب خود از مزاياي WSH استفاده نموده اند . بدين ترتيب ، امکان اجراي هر نوع فايل متني با انشعاب vbs,.vbe, .js, .jse . وwsf . ،بعنوان يک اسکريپت ويژوال بيسيک و يا Jscript با مجوزهاي سطح سيستم و يا برنامه ، فراهم مي گردد .

سيستم هاي عامل در معرض تهديد

WSH ، مي تواند بصورت دستي و يا از طريق IE( نسخه پنج به بعد ) ، بر روي ويندوز NT و 95 نصب گردد .درويندوز ME , 98 , 98SE , 2000 , XP و 2003 ، WSH بصورت پيش فرض نصب مي گردد . براي دريافت آخرين نسخه Windows Scrpt مي توان از آدرس Download Windows Script استفاده نمود .

نحوه تشخيص آسيب پذير ي سيستم

• سيستم هائي که بر روي آنان ويندوز 95 و يا NT بهمراه نسخه IE 5.5 نصب شده است .
• سيستم هائي که بر روي آنان ويندوز 98 ، ME ، 2000,XP و يا 2003 نصب شده است.
در صورتيکه WSH بر روي سيستم نصب و رفتار آن کنترل شده نباشد ، سيستم در معرض آسيب قرار خواهد داشت . در اين رابطه لازم است که بررسي لازم در خصوص سيستم هائي که WSH بر روي آنان نصب شده است را انجام و در ادامه با استفاده از روش هائي که دربخش بعد به آنان اشاره خواهد شد ، از يک راهکار منطقي بمنظور حفاظت در مقابل آن ، استفاده گردد..

نحوه حفاظت در مقابل نقطه آسيب پذير

در ابتدا لازم است به اين نکته مهم اشاره گردد که برخي برنامه ها وعمليات مديريتي، نيازمند استفاده از WSH بوده و در صورت غير فعال نمودن و يا حذف پتانسيل فوق ، برنامه هاي فوق با اشکال مواجه خواهند شد .

غيرفعال نمودن WSH

تکنولوژي WSH ، بخشي اختياري از سيستم عامل ويندوز بوده و مي توان با اطمينان و بدون نگراني خاصي آن را در موارد متعددي از روي کامپيوترها ، حذف و يا غير فعال نمود.پيشنهاد مي گردد ، بمنظور حفاظت در مقابل حملات و مسائل امنيتي مرتبط با WSH ، پتانسيل فوق غير فعال گردد (در موارديکه به عملکرد آن بر روي سيستم نياز نمي باشد ) .
برنامه Noscript.exe ، ارائه شده توسط Symantec ، سرويس WSH را با تغيير نام فايل کلاس هاي مربوط به هر کلاسي که داراي Wscript.exe و يا Cscript.exe در کليد هاي ريجستري Shell\Open2\Command و يا Shell\Open\Command است ، غير فعال مي نمايد.بدين ترتيب ، پيشگيري لازم در خصوص اجراي تمامي اسکريپت ها صرفنظر از اهداف مثبت و يا منفي آنان ، انجام خواهد شد . بمنظور نصب برنامه Noscript.exe مراحل زير را دنبال مي نمائيم :

• دريافت برنامه Noscript.exe از سايت Symantec
• پس از اجراء برنامه Noscript ( برنامه Norton Script Disabler/Enabler ، نمايش داده مي شود) با توجه به آخرين وضعيت WSH ( فعال و يا غير فعال ) ، امکان فعال و يا غير فعال نمودن آن فراهم مي گردد.

تغيير در رفتار پيش فرض WSH

بمنظور حفاظت و پيشگيري لازم در خصوص عملکرد WSH در جهت انجام پردازش هاي اتوماتيک Desktop و مديريتي با لحاظ نمودن تهديدات و مسائل ايمني ، مي توان رفتار پيش فرض ويندوز را در ارتباط با فايل هاي اسکريپت ( فايل هائي با انشعاب vbs, .vbe, .js, jse, .wsf . ) ، تغيير داد. . نحوه برخورد پيش فرض ويندوز با فايل ها ي اسکريپت ، مشابه فايل هاي استاندارد اجرائي ويندوز بوده ( فايل هاي با انشعاب EXE. و يا COM. ) و بلافاصله آنان اجراء خواهند شد . با تغيير تنظيمات و پيکربندي انجام شده مي توان امکان اجراي اتوماتيک اسکريپت هاي WSH را حذف تا اطمينان لازم در خصوص عدم فعال شدن اسکريپت هاي غير مجاز ، فراهم نمود .در چنين مواردي پس از فعال شدن فايل حاوي اسکريپت ، فايل مورد نظر در مقابل اجراي اتوماتيک در يک اديتور متني نمايش داده خواهد شد . بدين ترتيب ، کاربران مي توانند پس از اطمينان از صحت اسکريپت هاي نوشته شده ، تصميم لازم در خصوص اجراي آنان را اتخاذ نمايند . بنابراين ، عرصه براي اسکريپت هائي که سعي در تهديد و آسيب سيستم را دارند ، محدود و در عين حال کنترل شده مي گردد. اسکريپت هاي مجاز WSH ، همچنان امکان اجراء را خواهند داشت . بدين منظور مي توان نام فايل حاوي اسکريپت را بعنوان آرگومان برنامه هاي cscript.exe و يا wscript.exe تعريف و مشخص نمود .
cscript.exe myscript.vbs
wscript.exe myscript.vbs
بمنظور کسب اطلاعات بيشتر در رابطه با نحوه حذف و يا غير فعال نمودنWSH مي توان از آدرس http://www.symantec.com/avcenter/venc/data/win.script.hosting.html استفاده نمود .

آنتي ويروس ها

پيشنهادمي گردد که برنامه آنتي ويروس بهنگام شده اي در gatways ، سرويس دهندگان و ميزبانان ، نصب گردد.(علاوه بر غير فعال نمودنWSH ) . بدين ترتيب، مي توان با استفاده از پتانسيل هاي ارائه شده توسط نرم افزارهاي فوق ، برخورد لازم در ارتباط با نامه هاي الکترونيکي که داراي ضمائم حاوي اسکريپت هاي مخرب بمنظور انتشار ويروس ها و کرم ها مي باشند را انجام داد( نظير فايل هاي vbs, .vbe, .js, .jse, .wsf, .bat, .exe, .pif and .scr .) .مثلا" برنامه Norton AntiVirus 2001 به بعد، امکان Script Blocking را ارائه که مي تواند ميزبانان را در مقابل ويروسهاي مبتني بر WSHحفاظت نمايد .

بهنگام سازي موتور ( هسته ) اسکريپت

WSH طي ساليان اخير ، بدفعات ارتقاء يافته است .آخرين نسخه آن را مي توان از آدرس Download Windows Script دريافت نمود .

مجوزهاي NTFS

از مجوزهاي دستيابي NTFS مي توان بمنظور تعريف سطح دستيابي قابل دسترس براي wscript.exe و jscript.exe در ارتباط با کاربران و يا گروه هائي ازکاربران بهمراه account هاي معتبر ويندوز،استفاده نمود . زمانيکه يک دايرکتوري و يا فايل به اشتراک گذاشته مي شود ، تنظيمات پيش فرض دستيابي براي دايرکتوري ها و فايل هاي NTFS ، بصورت Full Control و براي گروه Everyone که شامل تمامي کاربران مي باشد ، در نظر گرفته مي شود. بدين ترتيب ، تمامي کاربران داراي مجوز لازم در خصوص اصلاح ، انتقال وحذف فايل ها و يا دايرکتوري ها ، مي باشند.تنظيمات پيش فرض فوق براي wscript.exe و cscript.exe مناسب نمي باشند . ايمن سازي فايل ها و فولدرها شامل حذف کاربران و گروه هائي است که ضرورتي در رابطه با دستيابي به منابع را ندارند . بمنظور تغيير مجوزهاي NTFS در ارتباط با يک دايرکتوري و يا فايل مراحل زير را دنبال مي نمائيم :
• فعال نمودن My Computer ، انتخاب درايو ، دايرکتوري و يا فايلي که قصد ايمن سازي آن وجود داشته باشد.
• فعال نمودن صفحه Property مربوط به شي انتخاب شده ( درايو ، دايرکتوري ، فايل )
• در بخش Security صفحه خصايص ، Account مورد نظري که قصد تغيير مجوزهاي مرتبط با آن وجود دارد را انتخاب مي نمائيم .
• در بخش Permission ، نوع دستيابي را براي کاربر و يا گروه مربوطه مشخص مي نمائيم .گزينه Allow امکان دستيابي و Deny عدم دستيابي در ارتباط با يک مجوز ( خواندن ، نوشتن و ... ) را مشخص مي نمايد .
در صورتيکه در صفحه Property مربوط به فايل ، درايو و يادايرکتوري ، Security tab مشاهده نمي گردد ، سيستم فايل کامپيوتر ميزبان بصورت NTFS پيکربندي نشده است . بمنظور تبديل سيستم فايل به NTFS ، مي توان از دستور Convert استفاده نمود ( convert drive_letter: /fs:ntfs ). بمنظور کسب اطلاعات بيشتر در خصوص نحوه تنظيم مجوزهاي NTFS ، براي يک دايرکتوري و يا فايل مي توان از آدرس http://www.microsoft.com/windows2000/en/server/iis/htm/core/iidfpsc.htm استفاده نمود .
در بخش پنجم اين مقاله به بررسي ساير نقاط آسيب پذير ويندوز خواهيم پرداخت .