3.3.1　DcomRpc漏洞描述

RPC（Remote Procedure Call）服务作为操作系统中一个重要服务，其描述为“提供终端点映射程序（endpoint mapper）以及其他RPC服务”。系统大多数功能和服务都依赖于它。

启动RPC服务的具体操作步骤如下：

步骤1：打开“控制面板”，依次单击“系统和安全”→“管理工具”，在“管理工具”窗口中双击“服务”图标，如图3.3.1-1所示。

图　3.3.1-1

步骤2：在“服务”窗口双击“Remote Procedure Call”服务项，如图3.3.1-2所示。

图　3.3.1-2

步骤3：在打开的“Remote Procedure Call（RPC）的属性（本地计算机）”对话框中选择“依存关系”选项卡，即可查看这一服务的依赖关系，如图3.3.1-3所示。

从显示服务可以看出受其影响的程序有很多，其中包括了DCOM接口服务。这个接口用于处理由客户端机器发送给服务器的DCOM对象激活请求（如UNC路径）。若攻击者成功利用此漏洞，则可以以本地系统权限执行任意指令，即攻击者可以在系统上执行任意操作，如安装程序、查看或更改、删除数据或建立系统管理员权限的账户。

DCOM（Distributed Component Object Model，分布式COM）协议的前身是OSF RPC协议，但增加了微软自己的一些扩展。扩展了组件对象模型（COM）技术，使其能够支持在局域网、广域网甚至Internet上不同计算机对象之间的通信。

对DCOM进行相应配置的具体操作步骤如下。

步骤1：在“运行”对话框中输入“dcomcnfg”命令，即可打开“组件服务”窗口，如图3.3.1-4所示。

图　3.3.1-3

图　3.3.1-4

步骤2：单击“组件服务”前面的“+”号，依次展开各项，直到出现“DCOM配置”子菜单项为止，即可根据需要对DCOM中各对象进行相关配置，如图3.3.1-5所示。

图　3.3.1-5

因为DCOM可以远程操作其他计算机中的DCOM程序，而技术使用了用于调用其他计算机所具有的函数的RPC（远程过程调用），所以利用这个漏洞，攻击者只需发送特殊形式的请求到远程计算机上的135端口即可实现操控，轻则造成拒绝服务攻击，严重的甚至可允许远程攻击者以本地管理员权限执行任何操作。