3.3.1　DcomRpc漏洞描述

RPC（Remote Procedure Call）服務作為操作系統中一個重要服務，其描述為“提供終端點映射程序（endpoint mapper）以及其他RPC服務”。系統大多數功能和服務都依賴于它。

啟動RPC服務的具體操作步驟如下：

步驟1：打開“控制面板”，依次單擊“系統和安全”→“管理工具”，在“管理工具”窗口中雙擊“服務”圖標，如圖3.3.1-1所示。

圖　3.3.1-1

步驟2：在“服務”窗口雙擊“Remote Procedure Call”服務項，如圖3.3.1-2所示。

圖　3.3.1-2

步驟3：在打開的“Remote Procedure Call（RPC）的屬性（本地計算機）”對話框中選擇“依存關系”選項卡，即可查看這一服務的依賴關系，如圖3.3.1-3所示。

從顯示服務可以看出受其影響的程序有很多，其中包括了DCOM接口服務。這個接口用于處理由客戶端機器發送給服務器的DCOM對象激活請求（如UNC路徑）。若攻擊者成功利用此漏洞，則可以以本地系統權限執行任意指令，即攻擊者可以在系統上執行任意操作，如安裝程序、查看或更改、刪除數據或建立系統管理員權限的賬戶。

DCOM（Distributed Component Object Model，分布式COM）協議的前身是OSF RPC協議，但增加了微軟自己的一些擴展。擴展了組件對象模型（COM）技術，使其能夠支持在局域網、廣域網甚至Internet上不同計算機對象之間的通信。

對DCOM進行相應配置的具體操作步驟如下。

步驟1：在“運行”對話框中輸入“dcomcnfg”命令，即可打開“組件服務”窗口，如圖3.3.1-4所示。

圖　3.3.1-3

圖　3.3.1-4

步驟2：單擊“組件服務”前面的“+”號，依次展開各項，直到出現“DCOM配置”子菜單項為止，即可根據需要對DCOM中各對象進行相關配置，如圖3.3.1-5所示。

圖　3.3.1-5

因為DCOM可以遠程操作其他計算機中的DCOM程序，而技術使用了用于調用其他計算機所具有的函數的RPC（遠程過程調用），所以利用這個漏洞，攻擊者只需發送特殊形式的請求到遠程計算機上的135端口即可實現操控，輕則造成拒絕服務攻擊，嚴重的甚至可允許遠程攻擊者以本地管理員權限執行任何操作。