发布日期：2003-05-20
更新日期：2003-05-23

受影响系统：

BadBlue Web Server 2.2
BadBlue Web Server 2.1
BadBlue Web Server 2.0
BadBlue Web Server 1.7

不受影响系统：

BadBlue Web Server 2.3

描述：

---

CVE(CAN) ID: CVE-2003-0332

BadBlue是一款集合Web/P2P服务程序，支持CGI、ISAPI。自带的ISAPI模块提供HTML嵌入动态WEB页面语言。

Among BadBlue对文件扩展名请求检查不够充分，远程攻击者可以利用这个漏洞访问管理接口。

BadBluse支持ISAPI扩展，此引擎对非HTML文件的限制访问通过请求的目标文件扩展名的开始字符需要为'ht'完成，并且访问'.hts'文件必须由127.0.0.1发送，并包含正确的'Referer'头字段。不过由于对扩展文件名解析不充分，攻击者如果把请求的扩展文件名的'h'代替为'a'，就可以绕过安全检查，直接访问。如攻击者提交：

http://host/ext.dll?mfcisapicommand=loadpage&page=dir.hts

会返回失败页面，但是使用如下URL请求：

http://host/ext.dll?mfcisapicommand=loadpage&page=dir.ats

就会成功访问。

攻击者可以利用此漏洞提交管理接口的访问来控制WEB服务程序。

<*来源：mattmurphy （mattmurphy@kc.rr.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=105346382524169&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

mattmurphy （mattmurphy@kc.rr.com）提供了如下测试方法：

http://localhost/ext.dll?mfcisapicommand=loadpage&page=admin.ats&a0=add&a1=root&a2=%5C

建议：

---

厂商补丁：

BadBlue
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载使用BadBlue 2.30版本：

Windows 95/NT
http://www.badblue.com/bb95.exe

Windows 98/2000/Me/XP
http://www.badblue.com/bb98.exe

浏览次数：2983
严重程度：0（网友投票）