黑客在线之经典入侵技术总结 (四)

四、 新贵Messager

　　入侵难度：★★★（中等）

　　存在范围：★★★★★（很高）

　　危险指数：★★★★★（很高）

　　使用几率：★★★★★（很高）

　　好用指数：85%

　　编辑部评审意见：

　　新近暴出的漏洞自然好用，唉，可怜了我的messager发送器了，以后恐怕就不能和

同c段的mm聊天拉……

　　Messager漏洞简介：

　　Windows NT/2000/ XP/20003操作系统中有一个默认开放的

Messenger（消息队列服务）。

　　它用于NT服务器之间进行发送和接收系统管理员或者“警报器” href="http://vip.hackbase.com" target="_blank">服务传递的消息，这个漏洞存在

缓冲区堆溢出漏洞，由于在向缓冲区保存消息数据之前没有正确检查消息长度，可能被 href="http://hackbase.com/hacker" target="_blank">攻击者利用来进行远溢出，进行拒绝 target="_blank">服务攻击，使 href="http://hackbase.com/skill" target="_blank">计算机停止响应并自动重启，也可以执行任意 href="http://hackbase.com/hacker" target="_blank">代码，具体溢出问题存在于消息队列 target="_blank">服务程序的search-by-name函数中，攻击者提交超

长字符串给这个函数可造成堆溢出。

　　攻击 target="_blank">工具：

　　扫描工具：RetinaMSGSVC.exe（来自国外著名的安全公司

eeye的ms03-043 Messenger漏洞扫描器）

　　溢出工具：msgr.exe

　　简单攻击：

　　1. 打开RetinaMSGSVC.exe，开始对目标进行扫描。

　　2. 使用msgr.exe对目标进行溢出，成功后将在目标主机的9191端口绑定一个shell，便于我们进行下一步控制。

　　命令格式如：msgr.exe 192.168.0.2 0

　　3. 使用telnet命令连接到主机。

　　命令格式如：telnet 192.168.0.0.2 9191

　　至此入侵结束！

　　如何防御：

　　Messenger消息是通过NetBIOS或者RPC提交给消息服务，所以可以通过

封闭NETBIOS端口(137-139)和使用 target="_blank">防火墙过滤UDP广播包来阻挡此类消息。在边界 href="http://hackbase.com/hacker" target="_blank">防火墙或者个人

防火墙上禁止不可信主机访问NETBIOS和RPC端口：135, 137, 138,

139 (TCP/UDP)，如果不使用messenger服务可以把它禁用。打开“开始”菜

单，点击“控制面板”中的“计算机管理 href="http://hackbase.com/hacker/tool" target="_blank">工具”，双击“ target="_blank">服务”，找到并双击“Messenger”，然后点击“停止”，并在“启动类型”的下拉框中选择“已禁用”。

　　微软也已经提供了安全补丁以修复此安全漏洞，如果有具体不同的操作系统需要下

载安装不同的补丁，可以通过微软网站的安全公告选择并下载安装针对您所用系统的安全补丁。