¿Como impedir la opcion "ver codigo fuente"?

[El_Metallick]

Abril 2001

El problema


De nuevo nos volvemos a encontrar con un fallo en la seguridad del servidor Web de Microsoft Internet Information Server, es decir, este sería el tercer artículo en la serie de artículos de los ofrecidos hasta la fecha acerca de los ataques o agujeros en la seguridad de aplicaciones Web basadas en ASP, los anteriores se pueden ver los meses de Febrero y Abril del pasado año.


El problema en la seguridad resulta muy sencillo y consiste en que se permite visualizar en el navegador Web el código fuente completo del fichero GLOBAL.ASA de una aplicación Web. El código nunca se podrá modificar, pero si es completamente visible para el usuario conectado.


Esto significa que el contenido de nuestro fichero GLOBAL.ASA de una aplicación Web puede ser de dominio público, quienes hallan desarrollado alguna aplicación Web basada en ASP comprenderán la gravedad del asunto. En el fichero GLOBAL.ASA muchas veces se suelen almacenar las contraseñas y usuarios para el acceso a bases de datos así como otra información de gran utilidad para la aplicación Web correspondiente.


Por lo tanto cualquier persona podrá descubrir con un mínimo esfuerzo los usuarios y sus contraseñas correspondientes para realizar conexiones con la bases de datos de la aplicación.


Decimos el contenido del fichero GLOBAL.ASA puede quedar al descubierto con un mínimo esfuerzo ya que el ataque simplemente consiste en añadir al nombre del fichero GLOBAL.ASA la cadena ".htr", así por ejemplo si escribimos la siguiente URL en nuestro navegador: http://www.almagesto.com/global.asa+.htr, aparentemente veríamos una página en blanco en nuestro navegador, pero si seleccionamos la opción de menú del navegador Ver|Código Fuente aparecerá ante nuestros ojos el código fuente completo del fichero GLOBAL.ASA del Campus Virtual Almagesto.


Para poder visualizar el contenido del fichero GLOBAL.ASA de cualquier sito Web únicamente tenemos que escribir la siguiente URL:
http://www.sitioWeb.com/global.asa+.htr


Este fallo en la seguridad lo presenta Internet Information Server tanto en su versión 4 para Windows NT como en su versión 5 para Windows 2000.


La solución


Para este ataque tan sencillo existe también una solución muy sencilla, que consiste en eliminar el reconocimiento de la extensión .HTR por parte del servidor Web Internet Information Server. Esto no supone ningún problema ya que la extensión no suele ser utilizada casi nunca, es una extensión que se incluyó con el Internet Information Server en su versión 2.0 y pretendía introducir una nueva tecnología de script que nunca llegó a utilizarse demasiado. Por lo tanto lo más seguro es deshabilitar el soporte de ficheros HTR.


Para eliminar el soporte de ficheros HTR de nuestro IIS debemos acudir al Administrador de servicios de Internet, y dentro del mismo a la página de propiedades del servidor, esto lo conseguimos pulsando con el botón derecho del ratón sobre el nombre de la máquina del servidor y seleccionado la opción propiedades.





Una vez en la página de propiedades generales del servidor seleccionamos el servicio Web de la lista desplegable y pulsamos sobre el botón Modificar y entre las múltiples páginas de propiedades que aparecen seleccionamos la hoja de propiedades llamada Directorio particular.






Dentro de la hoja de propiedades de Directorio particular pulsamos el botón etiquetado como Configuración, en ese momento aparecerán las distintas extensiones de fichero que reconoce el servidor Web IIS y el programa que tiene asociado para cada extensión. Ahora no tenemos nada más que situarnos sobre la extensión .htr y pulsar el botón de Quitar. Con este sencillo proceso habremos eliminado este agujaeor en la seguirad de IIS.





Además de esta solución, que es la recomendada por la propia compañía, podemos instalar una serie de parches que ofrece Microsoft para solventar el problema.


El parche para Internet Information Server 4 de Windows NT 4.0 lo podemos encontrar en la siguiente URL.


http://www.microsoft.com/downloads/release.asp?ReleaseID=22709


Y el parche para Internet Information Server 5 de Windows 2000 está disponible en esta otra dirección de Internet.


http://www.microsoft.com/downloads/release.asp?ReleaseID=22708


En el caso del sistema operativo Windows 2000 tenemos otra alternativa más que consiste en instalar el parche del sistema operativo, es decir, el Service Pack 1 de Windows 2000.


Más información sobre este agujero en la seguridad del servidor Web Internet Information Server se puede obtener en la siguiente dirección:


http://www.microsoft.com/technet/security/bulletin/fq00-044.asp

Eso saludos

PD: No me cabia todo en uno por eso los 3 post Sorry a las autoridades ^^