Windows 2012 R2 IIS远程代码执行漏洞(CVE-2015-1635)修复方案

**Windows 2012 R2 IIS远程代码执行漏洞(CVE-2015-1635)详解及修复方案** Windows Server 2012 R2中的Internet Information Services (IIS) 是一款广泛使用的Web服务器软件，用于托管各种网站和应用程序。然而，随着技术的发展，安全漏洞也会随之出现。2015年，一个名为CVE-2015-1635的重大漏洞被发现，它允许攻击者通过恶意构建的HTTP请求在受影响的IIS服务器上执行任意代码，从而可能导致系统完全控制权的丧失。这篇文档将深入探讨这个漏洞，并提供两种有效的修复方法。 ### 漏洞概述 CVE-2015-1635，也被称作“Unicode SMB文件名解析漏洞”，主要存在于IIS 7.0、7.5、8.0和8.5版本中。该漏洞源于IIS处理特定格式的Unicode路径请求时的错误，这可能导致内存破坏并允许远程代码执行。攻击者可以通过发送特制的HTTP请求来利用这个漏洞，而无需任何用户交互。 ### 修复方案一：安装安全更新 微软已经发布了针对此漏洞的安全更新（KB3046049）。这是最直接且推荐的修复方式。以下为步骤： 1. 访问微软更新网站或使用Windows Update服务检查更新。 2. 安装所有可用的安全更新，特别是KB3046049。 3. 重启服务器以使更新生效。 4. 验证更新安装成功，可以通过运行`systeminfo /s`命令并查找相关KB号来确认。 ### 修复方案二：修改IIS配置 如果由于某些原因无法立即安装更新，可以暂时通过修改IIS配置来缓解风险： 1. 打开IIS管理器，选择目标网站或应用程序池。 2. 右键点击并选择“属性”或“高级设置”。 3. 在“启用32位应用程序”选项中，将其设置为“假”。这可以防止32位版本的恶意代码执行。 4. 关闭WebDAV发布功能，因为该功能可能被利用来触发漏洞。在“处理程序映射”中，删除或禁用与WebDAV相关的模块。 5. 修改Web.config文件，添加以下配置以限制Unicode字符： ``` <system.webServer> <security> <requestFiltering> <fileExtensions allowUnlisted="false"> <!-- 添加禁止的文件扩展名 --> </fileExtensions> <hiddenSegments> <add segment=".."/> </hiddenSegments> </requestFiltering> </security> </system.webServer> ``` 这将阻止对“..”这样的特殊目录访问，从而防止路径遍历攻击。 6. 应用更改后，重启IIS服务以使配置生效。 ### 监控和预防措施 除了修复漏洞外，还需要采取额外的预防措施： 1. **定期更新**：确保操作系统和所有应用程序都保持最新状态，及时安装安全补丁。 2. **防火墙和入侵检测系统**：配置防火墙规则以阻止未经授权的HTTP请求，使用入侵检测系统监控潜在攻击。 3. **日志审核**：定期审查系统和IIS的日志，寻找异常活动。 4. **最小权限原则**：确保IIS进程以最低权限运行，降低成功攻击后的损害范围。 对于Windows 2012 R2 IIS远程代码执行漏洞(CVE-2015-1635)，及时安装官方发布的安全更新是最直接有效的解决方案。同时，结合调整IIS配置和加强安全策略，可以更全面地保护服务器免受此类攻击。