home *** CD-ROM | disk | FTP | other *** search
/ Hacks & Cracks / Hacks_and_Cracks.iso / hackersclub / km / library / hack / ms_is.txt < prev    next >
Text File  |  1998-03-25  |  4KB  |  68 lines
  1.                   Microsoft Index Server
  2.                              Exposes IDs and Passwords
  3.  
  4.                            Reported May 15 ,1997 by Andrew Smith
  5.  
  6.   Systems Affected
  7.  
  8.   Windows NT with IIS and Index Server (e.g. any NT system using IIS with webhits.exe in the default
  9.   location or locatable/executable path)
  10.  
  11.   The Problem
  12.  
  13.   MS Index Server (formerly code named Tripoli) is Microsoft's search engine for Internet Information Server.
  14.   It recently shipped with Service Pack 2 for Windows NT and is installed on most Microsoft NT Internet
  15.   Information web servers. Index Server is a very useful search engine for the Internet Information Server.
  16.   One component contained in Index Server is called the Hit Counter. Hit counter enables users to view their
  17.   searched documents with the words of their queries highlighted.. 
  18.  
  19.   The Hit Counter (webhits.exe) allows the web server to read files that should not normally be able to be
  20.   read. This is similar to a bug found recently that allows users to read Active Server Script files by placing a
  21.   period at the end of the URL. In many cases an Active Server script contains a username and password to
  22.   a network resource, usually a SQL server. This password and username can be used to gain access to
  23.   the SQL system and possibly to the web server itself.
  24.  
  25.   If the system administrator has left the default sample files on the Internet Information server, a hacker
  26.   would have the opportunity of narrowing down their search for a username and password. A simple query
  27.   of a popular search engine shows about four hundred websites that have barely modified versions of the
  28.   sample files still installed and available. This file is called queryhit.htm. Many webmasters have neglected
  29.   to modify the search fields to only search certain directories and avoid the script directories. 
  30.  
  31.   Once one of these sites is located a search performed can easily narrow down the files a hacker would
  32.   need to find a username and password. Using the sample search page it is easy to specify only files that
  33.   have the word password in them and are script files (.asp or .idc files, cold fusion scripts, even .pl files are
  34.   good). 
  35.  
  36.   The URL the hacker would try is http://servername/samples/search/queryhit.htm then the hacker would
  37.   search with something like "#filename=*.asp"
  38.  
  39.   When the results are returned not only can one link to the files but also can look at the "hits" by clicking
  40.   the view hits link that uses the webhits program. This program bypasses the security set by IIS on script
  41.   files and allows the source to be displayed. 
  42.  
  43.   Even if the original samples are not installed or have been removed a hole is still available to read the
  44.   script source. If the server has Service Pack 2 fully installed (including Index Server) they will also have
  45.   webhits.exe located in the path 
  46.  
  47.   http://servername/scripts/samples/search/webhits.exe
  48.  
  49.   This URL can preface another URL on that server and display the contents of the script.
  50.  
  51.   Stopping the Attack
  52.  
  53.   To protect your server from this problem remove the webhits.exe file from the server, or at least from it's
  54.   default directory. I also recommend that you customize your server search pages and scripts (.idq files) to
  55.   make sure they only search what you want - such as plain .HTM or .HTML files. Index Server is a
  56.   wonderful product but be sure you have configured it properly.
  57.  
  58.   Microsoft's Response:
  59.  
  60.   Andrew Smith has made Microsoft aware of the problem, but they have yet to release a formal fix as of
  61.   May 19, 1997.
  62.  
  63.   If you want to learn more about new NT security concerns, subscribe to NTSD. 
  64.  
  65.   Credit: 
  66.   Andrew Smith
  67.   Original page located here.
  68.   Post on The NT Shop May 19, 1997