數百萬企業應用面臨XML導致的DoS攻擊
【51CTO.com 獨家翻譯】Codenomicon是協議分析模糊工具Defensics的安全生產商,今年早些時候添加了對XML代碼漏洞的測試方法。其CEO Dave Chartier表示:“這樣的應用程序是非常脆弱的,而這種應用軟件的數量可能有數以百萬計。”
Codenomicon已經與工業界和開源團體分享了它的研究結果,一些官方的與XML漏洞相關的補丁預計也將在星期三提供。此外,與Codenomicon緊密合作的芬蘭計算機緊急反應小組(Computer Emergency Response Team in Finland,CERT-FI)也將發布一份通用的安全建議。
模糊工具(fuzzing tools )-有時又被稱為負測試工具(negative-tester)--主要是通過提交合法和異常的請求并分析其反應來檢測漏洞。Codenomicon發現XML解析器中的漏洞會很容易被用來發起DoS攻擊、破壞數據,甚至通過基于XML的內容傳送惡意的有效載荷。
Codenomicon說,黑客可以通過誘騙用戶打開特別制作的XML文件來利用該漏洞,或者通過通過向處理XML內容的Web服務提交惡意請求來利用。Chartier說可以預見黑客將會發起與XML相關的攻擊,他建議大家遵照規范操作,比如打上補丁。
該公司指出,XML在.Net,SOAP, VoIP, Web 服務,以及工業自動化應用等諸多領域中廣泛運用。
“ XML的應用是無處不在--在一些我們并不希望它出現的系統和服務中也還是可以看到它” CERT-FI主管Erka Koivunen在準備好的發言中說:“對我們來說,至關重要的是,使用受影響的庫的最終用戶和組織要升級到新版本。此項聲明還只是一個長期整治過程的開端,只有當生產系統都打上了補丁時才算完。“
Codenomicon還期望在2009年9月的邁阿密Hacker Halted會議上深入地探討各種XML漏洞。
【51CTO.COM 獨家翻譯,轉載請注明出處及譯者!】




























