Serv-U的如下漏洞防范

核心提示： 账号隐藏：通过第三方插件（Serv-U扩展库），实现“账号-映射”，Serv-U的如下漏洞防范(2)，也就是让一个固定账号下面映射几个子账号，继承账号权限，PCS小提示：尽管在Serv-U6.0.0.2中增加了密码安全设置功能，但是本文作者在对Serv-U6.0.0

账号隐藏：通过第三方插件（Serv-U扩展库），实现“账号-映射”，也就是让一个固定账号下面映射几个子账号，继承账号权限。攻击者必须拿到Serv-U目录的写权限，利用插件来对账号隐藏。

漏洞溢出：一般情况下，攻击者在确定版本有溢出漏洞之后，会自己编译或者在网络上寻找所对应的溢出漏洞攻击工具对目标系统进行溢出，成功将会取得目标系统的系统权限,由于Serv-U默认是以system权限运行，所以溢出成功后，所得到的权限为system权限。

大家可能会发现，除了软件异常以外，Serv-U目录读写权限已成为关键，可能就会想到设置好Serv-U目录权限，安全就得以保障了，其实不然，安全是一个整体。很多时候，在装有Serv-U的服务器上架设着Web服务器，我们不得不两者兼顾，有的放矢，才能把安全做好。

一次模拟入侵

我们可以从国内权威安全组织“绿盟”漏洞数据库中查找到在过去一年内的相关Serv-U漏洞，结果足让人吃惊，平均下来三个月就有一次漏洞。

2004-09-14 Serv-U FTP服务器设备文件名远程拒绝服务漏洞

2004-08-09 Serv-U本地权限提升漏洞

2004-04-22 Serv-U FTP服务器LIST命令超长-l参数远程缓冲区溢出漏洞

2004-02-27 Serv-U FTP服务器MDTM命令远程缓冲区溢出漏洞

2004-01-29 Serv-U FTP服务器SITE CHMOD命令超长文件名远程溢出漏洞

下面我们就以Serv-U本地权限提升漏洞为例来说明其危害性。

PCS小提示：尽管在Serv-U6.0.0.2中增加了密码安全设置功能。但是本文作者在对Serv-U6.0.0.2进行测试的时候发现，在安装Serv-U的服务器权限设置不当的时候依然能提升权限成功。

漏洞发现日期：2004-08-09

影响版本：RhinoSoft Serv-U 3.0.0.20 至RhinoSoft Serv-U 6.0.0.2