這里介紹的10大漏洞，是當今互聯網上發現的最普遍而且風險最高的漏洞。這一10大漏洞清單主要來源于ISSX-Force安全小組的分析、用戶的安全報告、ISS的專業服務隊伍和安全合作伙伴，10大漏洞表由ISS X-Force小組維護并以ISS安全警告匯編的形式每季度發布。
鑒于這10大漏洞的重要性和嚴重性，建議各個行業、企業、機構的安全主管機構充分重視這些安全問題，并將這些漏洞的解決辦法和處理決策落實到安全策略中，建立更加有效、更加完善的信息安全防護體系。
1、拒絕服務攻擊
TFN
TFN2K
Trin00
Stacheldraht
FunTimeApocalypse |
2、脆弱的賬號
缺省賬戶(路由器、防火墻)
管理員賬戶admin/root的空口令或弱口令
SNMPCommunityName的缺省設置 |
3、IIS(微軟的Web服務器MicrosoftInternetnformationServer)
RDS
HTR
畸形header
PWS文件訪問
CGI圈套
PHP3元字符
PHPmlog.html讀文件 |
4、數據庫
Oracle缺省賬戶/口令
Oraclesetuidrootoratclsh
SQLServerXp-sprintf緩存溢出
SQLServerXp-cmdshell擴展 |
5、電子商務主頁應用
NetscapeGetBo
HttpIndexserverPath
FrontpageExtensions
FrontpagePwdAdministrators |
6、電子郵件系統
Sendmail管道攻擊
SendmailMIMEbo |
7、文件共享
8、RPC
rpc.cmsd
rpc-statd
Sadmin
Amd
Mountd |
9、BIND
10、Linux緩存溢出
IMAPBO
QpopperBO
改寫堆棧覆益
WU-FTP緩存溢出 |
建議的修改步驟
在業務層次，通過組織來實施和管理安全部件，并且通過持續的保持警惕和對威脅的監控來降低新的風險。
ISS建議建立下面一些安全層次
安全策略
安全管理層(比如內聯網)
安全軟件(基于主機的評估和入侵檢測)
安全網絡部件OS/net/db/web |
