九游老哥云
威胁响应：Windows HTTP.sys远程代码执行误差跟踪希望
2015-04-16
2015.04.15夜，九游老哥科技在官方微博宣布了此误差通告，通告编号：Alert2015-04，CVE ID：CVE-2015-1635，受此误差影响的软件及系统包括：
Microsoft Windows Server 2012 R2
Microsoft Windows Server 2012
Microsoft Windows Server 2008 R2 SP1
Microsoft Windows 8.1
Microsoft Windows 8
Microsoft Windows 7 SP1
解决步伐
- 请所有使用如上系统的用户尽快升级补丁
厂商已在清静通告MS15-034中修复了此清静误差。我们建议用户开启自动更新服务以实时装置最新补丁，补丁可以通过Windows update在线获得。相关通告请见如下链接：
http://technet.microsoft.com/security/bulletin/MS15-034
若是您的营业系统暂时还无法升级补丁，那么可通过禁用IIS 内核缓存来暂时缓解此误差的危险，虽然这可能会导致IIS性能下降，但总比出清静事故的好啊，详细的执行要领可以参考如下链接：
https://technet.microsoft.com/zh-cn/library/cc731903(v=ws.10).aspx - 请所有使用九游老哥科技产品的客户尽快升级产品规则
九游老哥科技已在软件升级通告中提供规则升级包，NIPS、WAF、RSAS、WVSS、NF的用户请尽快升级最新规则，规则可以通过产品界面的在线升级举行。
若是您的营业系统暂时还无法升级规则包，那么可以在软件升级页面中，找到对应的产品，通过下载升级包，以离线方法举行升级。详细通告请参考如下链接：
http://update.nsfocus.com/
http.sys的主要性解读
Http.sys是Microsoft Windows处置惩罚HTTP请求的内核驱动程序。HTTP.sys会过失剖析某些特殊结构的HTTP请求，导致远程代码执行误差。乐成使用此误差后，攻击者可在System账户上下文中执行恣意代码。由于此误差保存于内核驱动程序中，攻击者也可以远程导致操作系统蓝屏�？纯聪峦寄憔突嵯嗍兜絟ttp.sys的主要性。
此次受影响的系统中，Windows 7、Windows 8、Windows Server 2008 R2 和 Windows Server 2012所带的HTTP.sys驱动均保存一个远程代码执行误差，远程攻击者可以通过IIS 7（或更高版本）服务将恶意的HTTP请求转达给HTTP.sys驱动，通过发送恶意的HTTP请求导致远程代码执行或操作系统蓝屏。这种使用方法相当容易，现在已经有可远程触发操作系统蓝屏的攻击代码撒播。
小贴士：怎样确定自己的电脑上IIS是否启用？
- Winkey+R翻开运行对话框，输入services.msc回车，翻开服务治理窗口，审查是否保存World Wide Web Publishing Service，若是服务状态是启用，批注IIS已经启用。
威胁情报
Threat intelligence 威胁情报无论关于解决古板清静或者APT攻击来说都是主要的手段之一，而随着0day误差频出，威胁情报的获取及响应都体现了防御能力的建设水平，并且这些能力建设需要一直的累积，从知识库到团队，从响应到剖析到前瞻性展望，清静威胁情报市场已经逐步形成，这些情报将会以种种形式交付给企业和组织，成为其清静防御必不可少的一环。
威胁情报服务系统至少包括了威胁监测及响应、数据剖析及整理、营业情报及交付、危害评估及咨询、清静托管及应用等各个方面，涉及研究、产品、服务、运营及营销的各个环节，九游老哥科技威胁响应系统已经具备了这些要素，在差别的行业中向企业和组织一连服务，包管客户营业的顺畅运行。
Security+报告
另一方面，九游老哥科技研究院也会长年跟踪剖析这些威胁，将情报整理汇总并举行深入解读形成种种报告，各人平时看到的Security+系列就是这些报告的泛起，各人可以在九游老哥科技官方网站、种种古板及社交媒体、售前售后服务、直邮刊物及邮件、市场运动及交流中获取它们，若是您还没有获取到这些报告，可以随时通过在微博、微信中搜索九游老哥科技联系九游老哥，接待您的垂询！
