安恒研究人員發(fā)現(xiàn),通過一個工具,能夠修改被AES加密過的ASP.NET窗體驗證cookie;然后檢查返回錯誤信息;獲取Machine Key。這個過程100%成功而且只需要30分鐘。一旦Machine key被破解出來了,黑客就能夠模擬出驗證 cookie。如果網(wǎng)站設(shè)計者啟動了選項,讓安全信息放入security cookie,那么攻擊者就能夠獲取管理員權(quán)限。影響范圍包括:membership provider, viewstate, 保存在security cookie里面的所有信息。
發(fā)動這種攻擊,黑客需要通過不斷重復(fù)發(fā)送信息,檢測返回的錯誤信息,然后了解加密算法,最后實現(xiàn)攻擊。安恒信息明御TM WEB應(yīng)用防火墻是結(jié)合多年應(yīng)用安全的攻防理論和應(yīng)急響應(yīng)實踐經(jīng)驗研發(fā)而成,不需要升級或進(jìn)行任何修改配置就能防范此漏洞的攻擊。明御TM WEB應(yīng)用防火墻WAF系統(tǒng)內(nèi)置安全防護(hù)策略,可以靈活定義HTTP/HTTPS錯誤返回的默認(rèn)頁面,避免因為WEB服務(wù)異常,導(dǎo)致敏感信息;對異常態(tài)的HTTP響應(yīng)頁面進(jìn)行修改過濾或者偽裝,防止敏感信息泄露,讓黑客無從利用實施攻擊,從根源上杜絕這類漏洞。
由于微軟官方?jīng)]有開發(fā)出補(bǔ)丁,因此該漏洞很可能造成嚴(yán)重的危害。安恒信息發(fā)現(xiàn)國外黑客已經(jīng)開始對國內(nèi)使用ASP.NET的部分網(wǎng)站實施惡意攻擊,建議沒有部署安恒信息相關(guān)產(chǎn)品的用戶,請盡快咨詢安恒信息技術(shù)服務(wù)人員,以獲得臨時性解決方案,降低安全風(fēng)險等級。