Microsoft 安全公告 MS06-017 - 中等

• 默认情况下，Microsoft Windows Server 2003 上不启用 Microsoft Internet Information Services (IIS) 6.0。
• 默认情况下，Microsoft Windows Server 2003 不启用 FrontPage Server Extensions。
• 如果您在 Windows Server 2000 Service Pack 4 上安装了 Microsoft Internet Information Services (IIS) 5.0，则不容易受到影响。如果您在 Windows XP Service Pack 1 或 Windows XP Service Pack 2 上安装了 Microsoft Internet Information Services (IIS) 5.1 并且有 FrontPage Server Extensions 2000 的默认安装，则也不容易受到影响。
• 在基于 Web 的攻击情形中，攻击者必须知道 Front Page Server Extensions 2002 或 SharePoint Team Services 2002 服务器的名称才能注入恶意脚本。 攻击者无法强迫用户访问恶意网站。 相反，攻击者必须劝诱用户访问该网站，通常是让用户单击通向攻击者站点的链接。
• 不会通过电子邮件自动利用此漏洞。 用户必须单击电子邮件中的 Web 链接，以电子邮件为载体的攻击才会得逞。
• 成功利用此漏洞的攻击者可能获得与 Front Page Server Extensions 2002 或 SharePoint Team Services 2002 服务器的用户相同的用户权限。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

我们并未发现此漏洞的任何变通办法。

此漏洞的影响范围有多大？
跨站点脚本漏洞可能允许攻击者诱使用户运行恶意脚本。 如果运行此恶意脚本，该脚本将在用户的安全上下文中执行。 要试图利用此漏洞，需要进行用户交互。

该脚本可能代表用户在计算机上执行授权网站执行的任何操作。 可能包括监视 Web 会话并将信息转发给第三方、在用户的系统上运行其他代码以及读取或写入 cookie。

如果用户在 Front Page Server Extensions 2002 或 SharePoint Team Services 2002 服务器上具有管理用户权限，成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

造成漏洞的原因是什么？
跨站点脚本 (XSS) 漏洞是由 FrontPage Server Extensions 处理参数验证的方式造成的。

什么是 FrontPage Server Extensions？
FrontPage Server Extensions 是一组可安装在网站上的工具。 它们允许授权人员管理服务器、添加或更改内容以及执行其他任务。 它们还添加网页经常使用的功能，例如搜索和表单支持。

什么是跨站点脚本？
跨站点脚本 (XSS) 是一个安全漏洞，它可能会使攻击者能够将代码“注入”用户与网站进行的会话。 攻击包括动态生成 HTML 页的 Web 服务器。 如果这些服务器在其发送回浏览器的动态页面中嵌入浏览器输入，则攻击者便可操纵这些服务器，并在动态页面中放置内容。 该内容允许执行恶意脚本。 由于 Web 浏览器对“受信任”站点的基本假设和使用 cookies 维持与其经常访问的网站的永久状态，因此使此问题永久性延续下去。 此攻击不修改网站内容。 相反，它将插入新的恶意脚本，该脚本可以在与受信任服务器关联的信息上下文中的浏览器级别执行。

跨站点脚本执行的工作方式是怎样的？
网页包含文本和 HTML 标记。 文本和 HTML 标记由服务器生成，并由客户端解释。 生成静态页面的服务器完全控制着客户端对服务器所发送页面进行解释的方式。 但是，生成动态页面的服务器不控制客户端对服务器输出的信息进行解释的方式。 如果在动态页面中引入不受信任的内容，服务器和客户端都不会有充足的信息来确认这种情况的发生以及采取保护措施。

攻击者可能利用此漏洞执行什么操作？
成功利用漏洞的攻击者可能代表网站用户执行操作。

哪些人可能会利用此漏洞？
攻击者可能会创建特制的电子邮件来试图利用此漏洞。 攻击者可能通过向运行受影响应用程序的服务器用户发送此特制电子邮件来利用此漏洞。 攻击者可能随后诱使用户单击该电子邮件中的链接。

在基于 Web 的攻击情形中，攻击者需要知道用户访问的 Front Page Server Extensions 2002 或 SharePoint Team Services 2002 服务器的名称才能成功注入恶意脚本。 攻击者无法强迫用户访问恶意网站。 相反，攻击者必须劝诱用户访问该网站，通常是让用户单击通向攻击者站点的链接。

受此漏洞威胁最大的系统有哪些？
安装了 Microsoft Internet Information Services (IIS)、FrontPage Server Extensions 2002 或 SharePoint Team Service 的工作站和服务器受到的威胁最大。 当没有足够管理权限的用户被授予登录到服务器并运行程序的权限时，服务器会更有危险。 不过，最佳做法是不要授予这样的权限。

是否可以通过 Internet 利用此漏洞？
是。 攻击者可能试图通过 Internet 来利用此漏洞。

此更新有什么作用？
此更新通过修改 FrontPage Server Extensions 处理 HTML 验证的方式来消除此漏洞。

发布此安全公告时，此漏洞是否已公开披露？
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

在发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

先决条件

此安全更新需要在 Microsoft Windows Server 2000 Service Pack 4、Microsoft Windows XP Service Pack 1 和 Microsoft Windows XP Service Pack 2 上安装 FrontPage Server Extensions 2002。

重新启动要求

为了降低被迫重新启动的机率，请首先停止所有受影响的服务并且关闭所有可能使用受影响的文件的应用程序，然后安装安全更新。 有关可能提示您重新启动的原因的详细信息，请参阅 Microsoft 知识库文章 887012。

请注意，如果系统提示您重启，则在重新启动计算机之前，系统将一直处于不安全状态。

删除信息
安装更新后，无法删除它。 要在安装更新前还原安装，您必须删除该应用程序，然后通过原始下载重新安装它

有关如何手动安装此更新的详细信息，请查看以下部分。

安装信息

此安全更新支持以下安装开关。

注意 这些开关并不一定适用于所有更新。 如果某开关不可用，则表明该功能是正确安装更新所必需的。 此外，不支持使用 /N:V 开关，它可能会导致系统无法启动。 如果安装失败，您应该联系您的支持专业人员以了解安装失败的原因。

有关受支持的安装开关的详细信息，请参阅 Microsoft 知识库文章 197147。

部署信息

注意 要安装此更新，您必须具有管理权限。

1. 下载此安全更新。
2. 单击“将该程序保存到磁盘”，然后单击“确定”。
3. 单击“保存”。
4. 在 Windows 资源管理器中，找到包括已保存文件的文件夹，然后双击这个已保存的文件。
5. 如果系统提示您安装更新，则单击“是”。
6. 单击“是”接受许可协议。
7. 当您收到指示安装成功的消息时，单击“确定”。

安装文件信息

此更新的英文版具有下表所列的文件属性。 这些文件的日期和时间按照协调通用时间 (UTC) 列出。 当您查看文件信息时，它将转换为本地时间。 要了解 UTC 与本地时间之间的时差，请使用“控制面板”上的“日期/时间”工具中的“时区”选项卡。

下载并安装在 Microsoft Windows Server 2000 Service Pack 4、Microsoft Windows XP Service Pack 1 和 Microsoft Windows XP Service Pack 2 上的 Microsoft FrontPage 2002：

验证是否已应用更新

• Microsoft 基准安全分析器

要验证受影响的系统上是否应用了安全更新，可以使用 Microsoft 基准安全分析器 (MBSA) 工具。 管理员可以使用 MBSA ，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft 基准安全分析器网站。

• 文件版本验证

注意 由于 Microsoft Windows 有多个版本，因此以下步骤在您的计算机上可能会有所不同。 如果不同，请参阅产品文档来完成这些步骤。

1. 单击“开始”，然后单击“搜索”。
2. 在“搜索结果”窗格中，单击“搜索助理”下的“所有文件和文件夹”。
3. 在“完整或部分文件名”框中，键入相应文件信息表中的一个文件名，然后单击“搜索”。
4. 在文件列表中，右键单击相应文件信息表中的一个文件名，然后单击“属性”。
   
   注意 取决于安装的操作系统或程序的版本，文件信息表中所列的某些文件可能并未安装。
5. 在“版本”选项卡上，通过将计算机上安装的文件与相应文件信息表中记录的版本进行比较来确定该文件的版本。
   
   注意 在安装过程中，除文件版本以外的其他属性均可能会发生变化。 不支持通过将其他文件属性与文件信息表中的信息进行比较这种方法来验证是否应用了更新。 另外，在某些情况下，在安装过程中还可能会重命名文件。 如果没有文件或版本信息，请使用另外一种方法来验证更新安装。

先决条件

此安全更新需要在 Microsoft Windows Server 2003 X64 Edition 和 Microsoft Windows XP Professional x64 Edition 上安装 FrontPage Server Extensions 2002。

重新启动要求

为了降低被迫重新启动的机率，请首先停止所有受影响的服务并且关闭所有可能使用受影响的文件的应用程序，然后安装安全更新。 有关可能提示您重新启动的原因的详细信息，请参阅 Microsoft 知识库文章 887012。

请注意，如果系统提示您重启，则在重新启动计算机之前，系统将一直处于不安全状态。

删除信息
安装更新后，无法删除它。 要在安装更新前还原安装，您必须删除该应用程序，然后通过原始下载重新安装它

有关如何手动安装此更新的详细信息，请查看以下部分。

安装信息

此安全更新支持以下安装开关。

注意 这些开关并不一定适用于所有更新。 如果某开关不可用，则表明该功能是正确安装更新所必需的。 此外，不支持使用 /N:V 开关，它可能会导致系统无法启动。 如果安装失败，您应该联系您的支持专业人员以了解安装失败的原因。

有关受支持的安装开关的详细信息，请参阅 Microsoft 知识库文章 197147。

注意 要安装此更新，您必须具有管理权限。

部署信息

1. 下载此安全更新。
2. 单击“将该程序保存到磁盘”，然后单击“确定”。
3. 单击“保存”。
4. 在 Windows 资源管理器中，找到包括已保存文件的文件夹，然后双击这个已保存的文件。
5. 如果系统提示您安装更新，则单击“是”。
6. 单击“是”接受许可协议。
7. 当您收到指示安装成功的消息时，单击“确定”。

安装文件信息

此更新的英文版具有下表所列的文件属性。 这些文件的日期和时间按照协调通用时间 (UTC) 列出。 当您查看文件信息时，它将转换为本地时间。 要了解 UTC 与本地时间之间的时差，请使用“控制面板”上的“日期/时间”工具中的“时区”选项卡。

下载并安装在 Microsoft Windows Server 2003 x64 Edition 和 Microsoft Windows XP Professional x64 Edition 上的 Microsoft FrontPage Server Extensions 2002

验证是否已应用更新

• Microsoft 基准安全分析器

要验证受影响的系统上是否应用了安全更新，可以使用 Microsoft 基准安全分析器 (MBSA) 工具。 管理员可以使用 MBSA ，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft 基准安全分析器网站。

• 文件版本验证

注意 由于 Microsoft Windows 有多个版本，因此以下步骤在您的计算机上可能会有所不同。 如果不同，请参阅产品文档来完成这些步骤。

1. 单击“开始”，然后单击“搜索”。
2. 在“搜索结果”窗格中，单击“搜索助理”下的“所有文件和文件夹”。
3. 在“完整或部分文件名”框中，键入相应文件信息表中的一个文件名，然后单击“搜索”。
4. 在文件列表中，右键单击相应文件信息表中的一个文件名，然后单击“属性”。
   
   注意 取决于安装的操作系统或程序的版本，文件信息表中所列的某些文件可能并未安装。
5. 在“版本”选项卡上，通过将计算机上安装的文件与相应文件信息表中记录的版本进行比较来确定该文件的版本。
   
   注意 在安装过程中，除文件版本以外的其他属性均可能会发生变化。 不支持通过将其他文件属性与文件信息表中的信息进行比较这种方法来验证是否应用了更新。 另外，在某些情况下，在安装过程中还可能会重命名文件。 如果没有文件或版本信息，请使用另外一种方法来验证更新安装。

重要： 在您安装此更新之前，请确保符合以下要求：

• 必须安装 Microsoft Windows Installer 2.0。 Microsoft Windows Server 2003、Windows XP 和 Microsoft Windows 2000 Service Pack 3 (SP3) 都包含了 Windows 安装程序 2.0 或更高版本。 要安装最新版本的 Windows 安装程序，请访问下列 Microsoft 网站之一：

用于 Windows 95、Windows 98、Windows 98 SE 和 Windows Millennium Edition 的 Windows Installer 2.0

用于 Windows 2000 和 Windows NT 4.0 的 Windows Installer 2.0

• 必须安装 SharePoint Team Services 的 Office XP Service Pack 3 (SP3)。 在您安装此更新之前，请安装SharePoint Team Services 的 Office XP Service Pack 3 (SP3)。

重新启动要求

为了降低被迫重新启动的机率，请首先停止所有受影响的服务并且关闭所有可能使用受影响的文件的应用程序，然后安装安全更新。 有关可能提示您重新启动的原因的详细信息，请参阅 Microsoft 知识库文章 887012。

删除信息

要删除此安全更新，请使用“控制面板”中的“添加或删除程序”工具。

注意 删除此更新时，系统将提示您在 CD 驱动器中插入原始产品 CD。 另外，您可能没有从控制面板“添加/删除程序”工具中卸载更新的选项。 此问题有诸多可能的原因。 有关删除的详细信息，请参阅 Microsoft 知识库文章 903771。

Microsoft Update 网站

此更新将通过 Microsoft Update 网站提供。 Microsoft Update 将 Windows Update 和 Office Update 提供的更新整合到一个位置，您可以选择自动提供和安装高优先级安全更新。 我们建议您使用 Microsoft Update 网站安装此更新。 Microsoft Update 网站会检测您安装的特定程序，并提示您确切安装必须安装的更新，以确保所安装的程序是最新的。

若要让 Microsoft Update 网站检测您必须在计算机上安装的更新，请访问 Microsoft Update 网站。 您可以选择“快速（推荐）”或“自定义”。 检测完成后，您会收到供您认可的建议更新列表。 单击“安装更新程序”或“复查并安装更新程序”以完成该过程。

有关如何手动安装此更新的详细信息，请查看以下部分。

安装信息

此安全更新支持以下安装开关。

注意 这些开关并不一定适用于所有更新。 如果某开关不可用，则表明该功能是正确安装更新所必需的。 此外，不支持使用 /N:V 开关，它可能会导致系统无法启动。 如果安装失败，您应该联系您的支持专业人员以了解安装失败的原因。

有关受支持的安装开关的详细信息，请参阅 Microsoft 知识库文章 197147。

部署信息

1. 下载此安全更新。
2. 单击“将该程序保存到磁盘”，然后单击“确定”。
3. 单击“保存”。
4. 在 Windows 资源管理器中，找到包括已保存文件的文件夹，然后双击这个已保存的文件。
5. 如果系统提示您安装更新，则单击“是”。
6. 单击“是”接受许可协议。
7. 在系统提示时插入原始源 CD-ROM，然后单击“确定”。
8. 当您收到指示安装成功的消息时，单击“确定”。

注意 如果您的计算机上已安装了安全更新，您就会收到下列错误消息： This update has already been applied or is included in an update that has already been applied.（此更新已应用，或者包含在已应用的更新中。）

安装文件信息

此更新的英文版具有下表所列的文件属性。 这些文件的日期和时间按照协调通用时间 (UTC) 列出。 当您查看文件信息时，它将转换为本地时间。 要了解 UTC 与本地时间之间的时差，请使用“控制面板”上的“日期/时间”工具中的“时区”选项卡。

Microsoft SharePoint Team Services：

验证是否已应用更新

• Microsoft 基准安全分析器

要验证受影响的系统上是否应用了安全更新，可以使用 Microsoft 基准安全分析器 (MBSA) 工具。 管理员可以使用 MBSA ，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft 基准安全分析器网站。

• 文件版本验证

注意 由于 Microsoft Windows 有多个版本，因此以下步骤在您的计算机上可能会有所不同。 如果不同，请参阅产品文档来完成这些步骤。

1. 单击“开始”，然后单击“搜索”。
2. 在“搜索结果”窗格中，单击“搜索助理”下的“所有文件和文件夹”。
3. 在“完整或部分文件名”框中，键入相应文件信息表中的一个文件名，然后单击“搜索”。
4. 在文件列表中，右键单击相应文件信息表中的一个文件名，然后单击“属性”。
   
   注意 取决于安装的操作系统或程序的版本，文件信息表中所列的某些文件可能并未安装。
5. 在“版本”选项卡上，通过将计算机上安装的文件与相应文件信息表中记录的版本进行比较来确定该文件的版本。
   
   注意 在安装过程中，除文件版本以外的其他属性均可能会发生变化。 不支持通过将其他文件属性与文件信息表中的信息进行比较这种方法来验证是否应用了更新。 另外，在某些情况下，在安装过程中还可能会重命名文件。 如果没有文件或版本信息，请使用另外一种方法来验证更新安装。