九游老哥云
威胁响应：Windows HTTP.sys远程代码执行误差跟踪希望
2015-04-16
2015.04.15夜 ，九游老哥科技在官方微博宣布了此误差通告 ，通告编号：Alert2015-04 ，CVE ID：CVE-2015-1635 ，受此误差影响的软件及系统包括：
- Microsoft Windows Server 2012 R2
- Microsoft Windows Server 2012
- Microsoft Windows Server 2008 SP1
- Microsoft Windows 8.1
- Microsoft Windows 8
- Microsoft Windows 7 SP1
解决步伐
- 请所有使用如上系统的用户尽快升级补丁
http://technet.microsoft.com/security/bulletin/MS15-034
若是您的营业系统暂时还无法升级补丁 ，那么可通过禁用IIS 内核缓存来暂时缓解此误差的危险 ，虽然这可能会导致IIS性能下降 ，但总比出清静事故的好啊 ，详细的执行要领可以参考如下链接：
https://technet.microsoft.com/zh-cn/library/cc731903(v=ws.10).aspx
- 请所有使用九游老哥科技产品的客户尽快升级产品规则
若是您的营业系统暂时还无法升级规则包 ，那么可以在软件升级页面中 ，找到对应的产品 ，通过下载升级包 ，以离线方法举行升级。详细通告请参考如下链接：
http://update.nsfocus.com/
http.sys的主要性解读
Http.sys是Microsoft Windows处置惩罚HTTP请求的内核驱动程序。HTTP.sys会过失剖析某些特殊结构的HTTP请求 ，导致远程代码执行误差。乐成使用此误差后 ，攻击者可在System帐户上下文中执行恣意代码。由于此误差保存于内核驱动程序中 ，攻击者也可以远程导致操作系统蓝屏� ？纯聪峦寄憔突嵯嗍兜絟ttp.sys的主要性。
此次受影响的系统中 ，Windows 7、Windows 8、Windows Server 2008 R2 和 Windows Server 2012所带的HTTP.sys驱动均保存一个远程代码执行误差 ，远程攻击者可以通过IIS 7（或更高版本）服务将恶意的HTTP请求转达给HTTP.sys驱动 ，通过发送恶意的HTTP请求导致远程代码执行或操作系统蓝屏。这种使用方法相当容易 ，现在已经有可远程触发操作系统蓝屏的攻击代码撒播。
小贴士：怎样确定自己的电脑上IIS是否启用?
Winkey+R翻开运行对话框 ，输入services.msc回车 ，翻开服务治理窗口 ，审查是否保存World Wide Web Publishing Service ，若是服务状态是启用 ，批注IIS已经启用。
威胁情报
Threat intelligence 威胁情报无论关于解决古板清静或者APT攻击来说都是主要的手段之一 ，而随着0day误差频出 ，威胁情报的获取及响应都体现了防御能力的建设水平 ，并且这些能力建设需要一直的累积 ，从知识库到团队 ，从响应到剖析到前瞻性展望 ，清静威胁情报市场已经逐步形成 ，这些情报将会以种种形式交付给企业和组织 ，成为其清静防御必不可少的一环。
威胁情报服务系统至少包括了威胁监测及响应、数据剖析及整理、营业情报及交付、危害评估及咨询、清静托管及应用等各个方面 ，涉及研究、产品、服务、运营及营销的各个环节 ，九游老哥科技威胁响应系统已经具备了这些要素 ，在差别的行业中向企业和组织一连服务 ，包管客户营业的顺畅运行。
Security+报告
另一方面 ，九游老哥科技研究院也会长年跟踪剖析这些威胁 ，将情报整理汇总并举行深入解读形成种种报告 ，各人平时看到的Security+系列就是这些报告的泛起 ，各人可以在九游老哥科技官方网站、种种古板及社交媒体、售前售后服务、直邮刊物及邮件、市场运动及交流中获取它们 ，若是您还没有获取到这些报告 ，可以随时通过在微博、微信中搜索九游老哥科技联系九游老哥 ，接待您的垂询！
