发布日期：2002-12-27
更新日期：2003-01-02

受影响系统：

Microsoft Windows 2000 XP Professional SP1
Microsoft Windows 2000 XP Professional
Microsoft Windows 2000 XP Home SP1
Microsoft Windows 2000 XP Home
Microsoft Windows 2000 Terminal Services SP3
Microsoft Windows 2000 Terminal Services SP2
Microsoft Windows 2000 Terminal Services SP1
Microsoft Windows 2000 Terminal Services
Microsoft Windows 2000 Server SP3
Microsoft Windows 2000 Server SP2
Microsoft Windows 2000 Server SP1
Microsoft Windows 2000 Server
Microsoft Windows 2000 Professional SP3
Microsoft Windows 2000 Professional SP2
Microsoft Windows 2000 Professional SP1
Microsoft Windows 2000 Professional
Microsoft Windows 2000 Datacenter Server SP3
Microsoft Windows 2000 Datacenter Server SP2
Microsoft Windows 2000 Datacenter Server SP1
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Advanced Server SP3
Microsoft Windows 2000 Advanced Server SP2
Microsoft Windows 2000 Advanced Server SP1
Microsoft Windows 2000 Advanced Server

描述：

---

BUGTRAQ  ID: 6842

微软的文件保护系统（WFP）是从Windows 2000开始提供的一种保护重要系统文件的机制，通过对文件数字签名的验证来确认文件未被改动。

有人发现该机制在实现上存在一个安全问题，可导致文件保护失效。

文件保护系统除了信任微软预设的那些数字签名证书外，也会信任任何根CA服务器发布的数字签名证书，并赖以保护操作系统文件和设备驱动，所以，入侵者可以自建一个使用根CA数字签名的的程序来欺骗文件保护系统。


<*来源：Jason Coombs （jasonc@science.org）
  *>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 如果怀疑系统已经被入侵，那么可以删除所有信任的根CA证书，在微软知识库Q296241中详细描述了该操作。如果Windows文件保护是必需的，应该运行SIGVERIF.EXE工具并输出日志，应该注意的是入侵者也可能使用一个伪造的名称，在这种情况下，使用文件的hash值校验是唯一的发现恶意文件的方法，可以使用CHKTRUST.EXE工具（Windows XP和Windows .NET包含该工具），该工具使用了WinTrust API，WinTrust只信任注册表中指定的证书。

厂商补丁：

Microsoft
---------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.microsoft.com/technet/security/

浏览次数：3101
严重程度：0（网友投票）