DEVCORE連五年站上最高資安殿堂，揭露最新微軟IIS三大漏洞研究

全球資安最高殿堂— Black Hat USA（美國黑帽大會） 登場，攻擊型資安公司 DEVCORE（戴夫寇爾）再次受邀出席，連續五年登上 Black Hat USA 舞台，向全球揭露世界級研究漏洞成果！DEVCORE 首席研究員蔡政達（Orange Tsai）在大會中首度公開對 Microsoft 網際網路資訊服務 （Internet Information Services；IIS）的最新漏洞研究，以嶄新角度檢視全球大多數企業正在使用的 Windows Server 內建 IIS 的安全性。

IIS 是微軟所提供，基於運行 Microsoft Windows 作業系統的的網際網路基本服務，是管理各種電腦網路服務的整合介面，全球絕大多數使用 Ｗindows 系統的企業，皆會選擇使用 Windows Server 內建的 IIS。蔡政達在 Black Hat USA 2022 大會上，發表並現場展示 DEVCORE 研究團隊如何花費數月時間，藉逆向工程了解 IIS 核心機制及內部架構，並揭露三種攻擊類型。

起因是蔡政達注意到 IIS 中用來查詢在記憶體儲存位置的資料結構 Hash Table（雜湊表，也稱哈希表）， 恐潛藏巨大的的安全性議題，研究團隊故從實作面、使用面在重新檢視微軟設計的 Hash Table 的實作和 Hash Table 演算法使用的過程，進而挖掘出 Microsoft IIS 的三個漏洞，包含：

• CVE-2022-22040：微軟的 Hash Table 實作問題，導致攻擊者可以將 20 年前猖獗的攻擊手法 Hash Flooding Attack 重現在 IIS 上，造成一台預設安裝的 IIS 因負荷滿載（overloading）而無法回應任何請求。
• CVE-2022-22025：由於微軟的 Hash Table 使用邏輯不一致，導致 Cache Poisoning 攻擊可以實現在 IIS 上，這將使攻擊者汙染 IIS 回傳給其他使用者的 HTTP 回應。
• CVE-2022-30209：微軟的 Hash Table 使用邏輯錯誤，讓攻擊者可以繞過 IIS 上的權限認證（Authentication Bypass）。此漏洞若經有心人士運用在 Exchange Server 上，攻擊者將能藉精心設計的密碼登入特定使用者信箱。 

針對 Microsoft IIS 上的三個漏洞，研究團隊秉持高道德標準，遵守漏洞揭露程序、主動通報原廠後並獲得微軟官方致謝。其中 CVE-2022-22040 此一漏洞甚至獲得微軟提供的三萬美元漏洞獎勵，直達過往微軟曾經提供給阻斷服務攻擊（DoS，denial of service）的最高獎金！