服务隔离技术说明
过去几天，在Cesar Cerrudo发布概念验证代码后，服务隔离问题成为我们关注的重点。IIS团队的Nazim Lala已发布详细博客说明修复方案及耗时原因。该补丁的代码修改量预计接近XP SP2级别，我们需要将Vista服务加固的大量基础设施工作回溯移植到旧版本系统，这对安全更新而言是项浩大工程。
受影响用户范围
攻击者需要满足以下条件才能利用此漏洞：
- 在Windows服务上下文中执行代码
- 进程令牌需具备SeImpersonatePrivilege权限
典型攻击场景包括：
- 托管服务商运行不可信代码的IIS环境
- SQL Server场景中，数据库管理员拥有数据库权限但无主机权限
检测方法
使用Process Explorer检查运行不可信代码的进程令牌：
- 双击目标进程
- 查看"Security"标签页
示例1：以NETWORK SERVICE身份运行的Svchost ![Svchost进程示例]
示例2：以普通用户身份运行的cmd.exe ![cmd进程示例]
漏洞触发条件
- 进程令牌具有SeImpersonatePrivilege权限
- 进程运行权限低于SYSTEM级别
- 进程执行不可信代码或允许不可信用户执行代码
符合条件的环境请务必参考[安全建议951306]实施缓解措施。
本文档按"原样"提供，不提供任何担保。