-
/1247620-2885312134_1e80bd8362_o.jpg)
Развод на бабки от MS.
Теги:
Balancer
Компания Microsoft опубликовала на сайте своей службы поддержки инструкцию по созданию программы, позволяющей обойти защиту веб-сервера Internet Information Services (IIS), сообщает The Inquirer.
Злоумышленник может воспользоваться ошибкой в библиотеке Webhits.dll, входящей в IIS, для доступа к закрытым документам в обход идентификации. Ошибка относится только к IIS версий 5.х. На данный момент исходный код программы, использующей ошибку, уже удален с сайта Microsoft. Тем не менее, пока не существует обновления для IIS, исправляющего эту ошибку.
Для защиты от хакеров Microsoft рекомендует обновить IIS до версии 6.0. Этот программный комплекс поставляется только в комплекте с серверной операционной системой Windows Server 2003, самая дешевая версия которой стоит около 800 долларов.
// Lenta.ru: Интернет: Microsoft рассказала хакерам про ошибки в приложениях Windows
Прямая ссылка на указанное: Компонент выделения вхождений служб индексирования может сделать возможным непредвиденный доступ к содержимому узла служб IIS
Найдено на Форум - Talks - Microsoft бъётся в конвульсиях...
В общем, суть развода простая. Вот всему миру эксплойт под IIS 5. Чинить мы его не будем (скорее всего починят, но сильно позже). Покупайте IIS 6 от $800, там такого бага нет... (подразумеваем "но после выхода IIS 7 ждите таких же отчётов по IIS 6"?)
инфо
инструменты
Покажите мне человека, который пользует ИИС и АСП 
. Помнится мне, под виндой замечательно работает апач .
. Помнится мне, под виндой замечательно работает апач .
Убей в себе зомби!
Апач под виндой - куда большее извращение, чем IIS 
А так -
А так -
На Авиабазе же "свои" ресурсы (в т.ч. форум) раздаёт lighttpd, а виртуальные хостинги - apache2 с mpm-itk.
hcube> Покажите мне человека, который пользует ИИС и АСП . Помнится мне, под виндой замечательно работает апач .
У нас Exchange 2k3 рабртает на w2k, соответственно OWA работает на IIS 5.0. Но у нас OWA открыто во внешний мир не смотрит, для аутентификации сначала используется ещё система с OTP. А по сути - это принуждение переходить на следующие версии, хотя и старые работают вполне нормально. Т.е. такое западло. Это вообще свойственно м-софту - надо ж кормиться самому бедному человеку на свете.
. Помнится мне, под виндой замечательно работает апач .У нас Exchange 2k3 рабртает на w2k, соответственно OWA работает на IIS 5.0. Но у нас OWA открыто во внешний мир не смотрит, для аутентификации сначала используется ещё система с OTP. А по сути - это принуждение переходить на следующие версии, хотя и старые работают вполне нормально. Т.е. такое западло. Это вообще свойственно м-софту - надо ж кормиться самому бедному человеку на свете.
Дизель экономит не деньги, дизель экономит горючее. (с) неизвестный дизелевод.
Mishka
Э-э-э, не сказать, что я люблю MS, но IIS 5.0 рассматривается как часть W2K. А для последнего в штатах
// support.microsoft.com
Для России — Поддержка Microsoft
Т.е. нормальная поддержка кончилась почти два года назад. Кто-то заплатил за расширенную поддержку? Табличка была опубликована много лет назад.
Кстати, а кто-то поддерживает ядро для линя 1.8, а то сволочи обновлятся заставляют.
И Апач, тоже сволочи, 1.0 перестали поддерживать.
Microsoft Support Lifecycle
Help and support with Microsoft product lifecycle guidelines. Service pack, security update, and general mainstream and extended support resources.// support.microsoft.com
| Products Released | General Availability Date | Mainstream Support Retired | Extended Support Retired | Service Pack Retired | Notes |
|---|---|---|---|---|---|
| Windows 2000 Server | 3/31/2000 | 6/30/2005 | 7/13/2010 |
Для России — Поддержка Microsoft
| Products Released | General Availability Date | Mainstream Support Retired | Extended Support Retired | Service Pack Retired | Notes |
|---|---|---|---|---|---|
| операционная система Microsoft Windows 2000 Server | 31.03.2000 | 30.06.2005 | 13.07.2010 |
Т.е. нормальная поддержка кончилась почти два года назад. Кто-то заплатил за расширенную поддержку? Табличка была опубликована много лет назад.
Кстати, а кто-то поддерживает ядро для линя 1.8, а то сволочи обновлятся заставляют.
И Апач, тоже сволочи, 1.0 перестали поддерживать.
Вот по IIS 5.0 — Сроки поддержки продуктов Microsoft
Лента вру совсем завралась — где на сайте поддержки информация по экплоиту? Там сообщение, что да, дырка — рекомендация обновится на 6-ку.
Пока не точные сведения, но узнал у своих — у кого расширенная поддержка, у того проблем, вроде, нет.
Bredonosec
между прочим, сообщество продолжает 98 поддерживать =)))
А не только 2000 =))
А не только 2000 =))
Voeneuch, учи физику, манажор ))
Bredonosec> между прочим, сообщество продолжает 98 поддерживать =)))
Сообщество может продолжать, если ММ наезжать не будет.
Bredonosec> А не только 2000 =))
Только зачем жалиться на то, о чём было сказано задолго до наступившего момента?
Сообщество может продолжать, если ММ наезжать не будет.
Bredonosec> А не только 2000 =))
Только зачем жалиться на то, о чём было сказано задолго до наступившего момента?
ну, положим, на мсфн пока вполне свободно. Собственно, там более всего.
насчет "жалиться" -
скажем так, fool me once - shame on u. Fool me twice - shame on me.
В смысле, один раз нагадили - нагадят и повторно, т.е., лучше от них не зависеть.
насчет "жалиться" -
скажем так, fool me once - shame on u. Fool me twice - shame on me.
В смысле, один раз нагадили - нагадят и повторно, т.е., лучше от них не зависеть.
Voeneuch, учи физику, манажор ))
Bredonosec> ну, положим, на мсфн пока вполне свободно. Собственно, там более всего.
А что такое МСФН?
Bredonosec> насчет "жалиться" -
Bredonosec> скажем так, fool me once - shame on u. Fool me twice - shame on me.
Bredonosec> В смысле, один раз нагадили - нагадят и повторно, т.е., лучше от них не зависеть.
Чего-то тебя не туда понесло. Кто обмнанул, кого обманул? Lifecycle публикуется в момент выхода продукта. Кто виноват, что народ не читает? Почему отсутствие поддержки ядра 2.0 ты не считаешь за обман? А фряхи 1.8? А Апача 1.0? Чем это отличается от 98 и 2000? Так 5 лет поддерживали. А те дай Бог — два года.
А что такое МСФН?
Bredonosec> насчет "жалиться" -
Bredonosec> скажем так, fool me once - shame on u. Fool me twice - shame on me.
Bredonosec> В смысле, один раз нагадили - нагадят и повторно, т.е., лучше от них не зависеть.
Чего-то тебя не туда понесло. Кто обмнанул, кого обманул? Lifecycle публикуется в момент выхода продукта. Кто виноват, что народ не читает? Почему отсутствие поддержки ядра 2.0 ты не считаешь за обман? А фряхи 1.8? А Апача 1.0? Чем это отличается от 98 и 2000? Так 5 лет поддерживали. А те дай Бог — два года.
HOTFIXES: Windows XP SP2 & Windows 2000 SP4
YOUR ONE STOP POST FOR WINDOWS CRITICAL UPDATES! The following is a complete list of all critical HotFixes (patches) along with download link an...// www.msfn.org
MicroSoft Forum Network
>Чего-то тебя не туда понесло. Кто обмнанул, кого обманул? Lifecycle публикуется в момент выхода продукта. Кто виноват, что народ не читает?
Миш, речь идет не об окончании поддержки. А о данном (см первый пост) факте: производитель, желая вынудить пользователей совершить покупку, публикует уязвимость, оставляя её открытой. То есть, идлет давление.
Представь, ты купил сейфовую дверь с дико дорогим мультилоком, а лет через 7 (как раз когда гарантия кончилась) продавец начинает распродажу мастер-ключей/отмычек, подходящих к дверям как у тебя.
Какие претензии? Купи новую дверь (новый замок) - к ним мастер-ключ/отмычка не подходит!
теперь надеюсь, прояснил, о чем я? =))
Voeneuch, учи физику, манажор ))
ссылку из закладок взял - на стартовую сам пройдешь =))
Voeneuch, учи физику, манажор ))
Bredonosec> Миш, речь идет не об окончании поддержки. А о данном (см первый пост) факте: производитель, желая вынудить пользователей совершить покупку, публикует уязвимость, оставляя её открытой. То есть, идлет давление.
Советую всё-таки сходить на страничку ММ и поискать уязвимость. Прежде чем что-то утверждать
Bredonosec> Представь, ты купил сейфовую дверь с дико дорогим мультилоком, а лет через 7 (как раз когда гарантия кончилась) продавец начинает распродажу мастер-ключей/отмычек, подходящих к дверям как у тебя.
Аналогия не верна. Верна будет другая. Купил сейф с электроным замком. С гарантией на 5 лет. После 7 лет алгоритм взломали, производитель опубликовал статью о том, что замок взломали.
Bredonosec> Какие претензии? Купи новую дверь (новый замок) - к ним мастер-ключ/отмычка не подходит!
именно так. Холодильник, телевизор — любой ремонт после гарантии — за деньги. Какие претензии.
Bredonosec> теперь надеюсь, прояснил, о чем я? =))
Не-а. Ты не разобрался в ситуации, а поверил журноламерам. Сходи по оригиналам, а не на ленту.вру.
Советую всё-таки сходить на страничку ММ и поискать уязвимость. Прежде чем что-то утверждать
Bredonosec> Представь, ты купил сейфовую дверь с дико дорогим мультилоком, а лет через 7 (как раз когда гарантия кончилась) продавец начинает распродажу мастер-ключей/отмычек, подходящих к дверям как у тебя.
Аналогия не верна. Верна будет другая. Купил сейф с электроным замком. С гарантией на 5 лет. После 7 лет алгоритм взломали, производитель опубликовал статью о том, что замок взломали.
Bredonosec> Какие претензии? Купи новую дверь (новый замок) - к ним мастер-ключ/отмычка не подходит!
именно так. Холодильник, телевизор — любой ремонт после гарантии — за деньги. Какие претензии.
Bredonosec> теперь надеюсь, прояснил, о чем я? =))
Не-а. Ты не разобрался в ситуации, а поверил журноламерам. Сходи по оригиналам, а не на ленту.вру.
Bredonosec> ссылку из закладок взял - на стартовую сам пройдешь =))
Это не интересно. Там для не для 98 ссылки на сам ММ.
Это не интересно. Там для не для 98 ссылки на сам ММ.
Mishka> Т.е. нормальная поддержка кончилась почти два года назад. Кто-то заплатил за расширенную поддержку?
Интересно, в расчётах стоимости поддержки Windows-решений, которые у MS часто обходятся дешевле аналогичных Linux они учитывают такую, вот, необходимость периодической выплаты за обновление как ОС так и всех компонентов?
Mishka> Кстати, а кто-то поддерживает ядро для линя 1.8, а то сволочи обновлятся заставляют. И Апач, тоже сволочи, 1.0 перестали поддерживать.
Так обновления-то нахаляву, сэр Вот на Авиабазе весь софт вообще автоматом обновляется. Всегда самые последние стабильные версии стоят.
А в случае MS, виш, такое уже не катит... Время от времени придётся покупать новую ОС со всеми прибабахами и полностью обновлять весь сервер. Ужос
Интересно, в расчётах стоимости поддержки Windows-решений, которые у MS часто обходятся дешевле аналогичных Linux они учитывают такую, вот, необходимость периодической выплаты за обновление как ОС так и всех компонентов?
Mishka> Кстати, а кто-то поддерживает ядро для линя 1.8, а то сволочи обновлятся заставляют.
И Апач, тоже сволочи, 1.0 перестали поддерживать.Так обновления-то нахаляву, сэр
Вот на Авиабазе весь софт вообще автоматом обновляется. Всегда самые последние стабильные версии стоят.А в случае MS, виш, такое уже не катит... Время от времени придётся покупать новую ОС со всеми прибабахами и полностью обновлять весь сервер. Ужос
Mishka> Э-э-э, не сказать, что я люблю MS, но IIS 5.0 рассматривается как часть W2K.
Кстати, а как на это антимонопольный комитет смотрит? Эдакая привязка совершенно как бы из разных областей продуктов.
Типа, Хот-Доги только с Пепси, но никак не с Кокой
Кстати, а как на это антимонопольный комитет смотрит? Эдакая привязка совершенно как бы из разных областей продуктов.
Типа, Хот-Доги только с Пепси, но никак не с Кокой
Mishka> Лента вру совсем завралась — где на сайте поддержки информация по экплоиту? Там сообщение, что да, дырка — рекомендация обновится на 6-ку.
Разве инфы на Компонент выделения вхождений служб индексирования может сделать возможным непредвиденный доступ к содержимому узла служб IIS недостаточно для немедленного изготовления эксплойта?
Или ты хочешь, чтобы MS у себя на сайте ещё и готовые эксплойты выкладывала??
Разве инфы на Компонент выделения вхождений служб индексирования может сделать возможным непредвиденный доступ к содержимому узла служб IIS недостаточно для немедленного изготовления эксплойта?
Или ты хочешь, чтобы MS у себя на сайте ещё и готовые эксплойты выкладывала??
Balancer> Время от времени придётся покупать новую ОС со всеми прибабахами и полностью обновлять весь сервер. Ужос
А них есть вот такая — платная, ессно — штука: http://www.microsoft.com/Rus/.../volume/SoftwareAssurance/Default.mspx, которая включает Оперативный доступ к новым продуктам и технологиям
А них есть вот такая — платная, ессно — штука: http://www.microsoft.com/Rus/.../volume/SoftwareAssurance/Default.mspx, которая включает Оперативный доступ к новым продуктам и технологиям
Mishka> Т.е. нормальная поддержка кончилась почти два года назад. Кто-то заплатил за расширенную поддержку? Табличка была опубликована много лет назад.
Mishka> Кстати, а кто-то поддерживает ядро для линя 1.8, а то сволочи обновлятся заставляют. И Апач, тоже сволочи, 1.0 перестали поддерживать.
Не, дело не в поддержке - она не нужна. Наружу открыто у нас только апачи смотрят. Если действительно была опубликована уязвимость и способ её использовать - то это западло однозначно. А так, по ссылке англоязычной посмотрел - ничего особенного.
Mishka> Кстати, а кто-то поддерживает ядро для линя 1.8, а то сволочи обновлятся заставляют.
И Апач, тоже сволочи, 1.0 перестали поддерживать.Не, дело не в поддержке - она не нужна. Наружу открыто у нас только апачи смотрят. Если действительно была опубликована уязвимость и способ её использовать - то это западло однозначно. А так, по ссылке англоязычной посмотрел - ничего особенного.
Дизель экономит не деньги, дизель экономит горючее. (с) неизвестный дизелевод.
Mishka> Советую всё-таки сходить на страничку ММ и поискать уязвимость. Прежде чем что-то утверждать
Mishka> Не-а. Ты не разобрался в ситуации, а поверил журноламерам. Сходи по оригиналам, а не на ленту.вру.
Теперь можно говорить, что и не было никогда
Bredonosec>> Представь, ты купил сейфовую дверь с дико дорогим мультилоком, а лет через 7 (как раз когда гарантия кончилась) продавец начинает распродажу мастер-ключей/отмычек, подходящих к дверям как у тебя.
Mishka> Аналогия не верна. Верна будет другая. Купил сейф с электроным замком. С гарантией на 5 лет. После 7 лет алгоритм взломали, производитель опубликовал статью о том, что замок взломали.
С описанием/инструкцией, как именно.
>Это не интересно. Там для не для 98 ссылки на сам ММ.
Надо на конкретно с/паки для 98? Ну пожалст..
QIP.RU: почта, поиск, новости, знакомства, игры и развлечения
// www.majorgeeks.com
Download Unofficial Windows 98 SE Service Pack 2.1a Free - Unofficial Windows 98 SE Service Pack contains all Windows 98 SE updates from WindowsUpdate site and more - Softpedia
- опять же, исключительно из закладок.. Даж на руборд в тему насчет 98 за ссылками не полез.
//кста, последняя - от Ивана Федоренки - полностью пересобранное ядро (изначально добавлено нужное, отрезано ненужное, модульная конструкция сборки, т.д.) Сам пользую некоторые его компоненты - доволен.
Mishka> Не-а. Ты не разобрался в ситуации, а поверил журноламерам. Сходи по оригиналам, а не на ленту.вру.
На данный момент исходный код программы, использующей ошибку, уже удален с сайта Microsoft.
Теперь можно говорить, что и не было никогда
Bredonosec>> Представь, ты купил сейфовую дверь с дико дорогим мультилоком, а лет через 7 (как раз когда гарантия кончилась) продавец начинает распродажу мастер-ключей/отмычек, подходящих к дверям как у тебя.
Mishka> Аналогия не верна. Верна будет другая. Купил сейф с электроным замком. С гарантией на 5 лет. После 7 лет алгоритм взломали, производитель опубликовал статью о том, что замок взломали.
С описанием/инструкцией, как именно.
>Это не интересно. Там для не для 98 ссылки на сам ММ.
Надо на конкретно с/паки для 98? Ну пожалст..
QIP.RU: почта, поиск, новости, знакомства, игры и развлечения
|MG| UNOFFICIAL Windows98 SE Service Pack 2.1a Download
... Download UNOFFICIAL Windows98 SE Service Pack 2.1a ...// www.majorgeeks.com
Download Unofficial Windows 98 SE Service Pack 2.1a Free - Unofficial Windows 98 SE Service Pack contains all Windows 98 SE updates from WindowsUpdate site and more - Softpedia
- опять же, исключительно из закладок.. Даж на руборд в тему насчет 98 за ссылками не полез.
//кста, последняя - от Ивана Федоренки - полностью пересобранное ядро (изначально добавлено нужное, отрезано ненужное, модульная конструкция сборки, т.д.) Сам пользую некоторые его компоненты - доволен.
Voeneuch, учи физику, манажор ))
Balancer> Кстати, а как на это антимонопольный комитет смотрит? Эдакая привязка совершенно как бы из разных областей продуктов.
Э-э, он позиционировался как серверный продукт. И доступен только на нём. Для других версий серверов — другие версии. Т.е. здесь нет чистой привязки. И Апач можно поставить.
Balancer> Типа, Хот-Доги только с Пепси, но никак не с Кокой
Нет, у нас вы можете купить хот-дог. И хот-дог с пепси, а не с колой. Это совершенно нормально. Более того, редко в каком заведении (ресторанчике) ты можешь купить и колу, и пепси.
Э-э, он позиционировался как серверный продукт. И доступен только на нём. Для других версий серверов — другие версии. Т.е. здесь нет чистой привязки. И Апач можно поставить.
Balancer> Типа, Хот-Доги только с Пепси, но никак не с Кокой
Нет, у нас вы можете купить хот-дог. И хот-дог с пепси, а не с колой. Это совершенно нормально. Более того, редко в каком заведении (ресторанчике) ты можешь купить и колу, и пепси.
Balancer> Разве инфы на Компонент выделения вхождений служб индексирования может сделать возможным непредвиденный доступ к содержимому узла служб IIS недостаточно для немедленного изготовления эксплойта?
Ну, давай, быстренько составь. А я посмотрю. Это опубликовано в стиле центра по безопасности при Карнеги.
Balancer> Или ты хочешь, чтобы MS у себя на сайте ещё и готовые эксплойты выкладывала??
Так потому на первое сообщение я так и отреагировал.
Ну, давай, быстренько составь.
А я посмотрю. Это опубликовано в стиле центра по безопасности при Карнеги.Balancer> Или ты хочешь, чтобы MS у себя на сайте ещё и готовые эксплойты выкладывала??
Так потому на первое сообщение я так и отреагировал.
Copyright © Balancer 1997..2018
Создано 07.06.2007
Связь с владельцами и администрацией сайта: anonisimov@gmail.com, rwasp1957@yandex.ru и admin@balancer.ru.
Создано 07.06.2007
Связь с владельцами и администрацией сайта: anonisimov@gmail.com, rwasp1957@yandex.ru и admin@balancer.ru.
