Microsoft 安全公告 MS06-018

这是一个拒绝服务漏洞。 虽然攻击者无法利用此问题来执行代码或提升他们的用户权限，但是它可能导致受影响的服务停止接受请求。

如果 Microsoft 分布式事务处理协调器由于受到攻击而停止响应，则不依赖于 Microsoft 分布式事务处理协调器的服务将继续正常运行。 攻击者的影响通常不会影响到系统的一般稳定性。

对于需要受影响组件的客户，采用防火墙最佳做法和标准的默认防火墙配置可以帮助保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。

禁用分布式事务处理协调器

禁用分布式事务处理协调器可以帮助防止受影响的系统尝试利用此漏洞。 若要禁用分布式事务处理协调器，请按照以下步骤执行操作：

您还可以通过在命令提示符处使用以下命令来停止和禁用分布式事务处理协调器：

sc stop MSDTC & sc config MSDTC start= disabled

变通办法的影响： 如果禁用了分布式事务处理协调器，您将无法使用依赖于分布式事务处理协调器的任何服务或应用程序。 这可能包括其他应用程序，如 SQL Server、BizTalk Server、Exchange Server 或 Message Queuing。 另外，在大多数群集配置中都需要此服务。 因此，我们建议您仅在无法安装安全更新的系统上使用此变通办法。

在所有不需要此功能的受影响系统上，使用组策略设置禁用分布式事务处理协调器。
由于分布式事务处理协调器可能会成为攻击媒介，因此请使用组策略设置将其禁用。 您可以通过使用 Windows 2000 或 Windows Server 2003 域环境中的“组策略”对象功能，在本地、站点、域或组织单位级别上禁用此服务的启动。 有关如何通过登录脚本禁用此服务的详细信息，请参阅 Microsoft 知识库文章 297789

注意 您还可以参阅 Windows 2000 安全强化指南。 此指南包含有关如何禁用服务的信息。

有关组策略的详细信息，请访问以下网站：

变通办法的影响： 如果禁用了分布式事务处理协调器，您将无法使用依赖于分布式事务处理协调器的任何服务或应用程序。 这可能包括其他应用程序，如 SQL Server、BizTalk Server、Exchange Server 或 Message Queuing。 另外，在大多数群集配置中都需要此服务。 因此，我们建议您仅在无法安装安全更新的系统上使用此变通办法。

禁用网络 DTC 访问

如果无法安装安全更新，并且无法禁用分布式事务处理协调器，您可能需要禁用“网络 DTC 访问”。 此选项仅在 Windows XP 和更高版本的操作系统上提供。 这仍允许完成本地事务处理，但是它帮助防止尝试利用此问题进行基于网络的攻击。 有关如何配置“网络 DTC 访问”的信息，请访问以下 Microsoft 网站。 若要禁用“网络 DTC 访问”，请按照以下步骤执行操作：

警告 如果受影响的服务以前未启动，执行此过程会启动该服务。 在您关闭配置对话框前，请停止 MSDTC 选项卡上的 MSDTC 服务。

HKLM\Software\Microsoft\MSDTC\Security\NetworkDtcAccess

变通办法的影响： 如果禁用“网络 DTC 访问”，则分布式事务处理可能失败。 这可能会影响其他应用程序，如 SQL Server、BizTalk Server、Exchange Server 或 Message Queuing。 因此，我们建议您仅在无法安装安全更新的系统上使用此变通办法。

在防火墙处阻止以下内容：

这些端口可以用于启动与 MSDTC 的连接。 将其阻止在防火墙处，有助于保护位于防火墙后面的系统免受利用此漏洞进行的攻击。 此外，确保阻止远程系统上的任何其他特殊配置的 RPC 端口。 我们建议阻止所有来自 Internet 的未经请求的入站通信，以帮助防止可能使用其他端口进行的攻击。 当 RPC 可以使用 UDP 端口 135、137、138、445 以及 TCP 端口 135、139、445 和 593 时，MSDTC 服务不会受这些端口影响。

注意 其他协议（如顺序包交换 (SPX) 或 NetBEUI）可以用于与 MSDTC 服务进行通信。 如果正在使用这些协议，您应该为这些协议阻止适当的端口。 有关 IPX 和 SPX 的详细信息，请访问以下 Microsoft 网站。

为防止攻击者执行基于网络的尝试以利用此漏洞，请使用个人防火墙，如 Internet 连接防火墙。Windows XP 和 Windows Server 2003 附带此防火墙。

默认情况下，Windows XP 和 Windows Server 2003 中的“Internet 连接防火墙”功能会通过阻止未经请求的传入通信来帮助保护您的 Internet 连接。 我们建议您阻止所有来自 Internet 的非法传入通信。

要使用网络安装向导启用 Internet 连接防火墙功能，请按照以下步骤进行操作：

要为连接手动配置 Internet 连接防火墙，请按照以下步骤进行操作：

注意 如果要通过防火墙启用某些程序和服务以进行通信，请单击“高级”选项卡上的“设置”，然后选择所需的程序、协议和服务。

为帮助防止攻击者试图基于网络利用此漏洞，请在支持高级 TCP/IP 筛选功能的系统上启用此功能。

可以启用高级 TCP/IP 筛选功能来阻止所有非法入站通信。 有关如何配置 TCP/IP 筛选功能的详细信息，请参阅 Microsoft 知识库文章 309798。

为帮助防止攻击者试图基于网络利用此漏洞，请通过在受影响的系统上使用 IPSec 来阻止受影响的端口。

使用 Internet 协议安全 (IPsec) 帮助保护网络通信。 Microsoft 知识库文章 313190 和 Microsoft 知识库文章 813878 提供了有关 IPsec 和如何应用筛选器的详细信息。RPC 使用的端口范围广泛，因而难于使用 IPsec 来保护所有端口。 Microsoft 知识库文章 908472 说明了如何将 RPC 通信限制为一组固定的端口以及如何使用 IPsec 保护这些端口。

降低企业的计算成本。
DTC 为联网、普通价格的 PC 和服务器的用户提供高级而价格低廉的分布式事务处理设备。

简化应用程序的开发。
不管在更新应用程序数据时发生任何故障，DTC 都可大幅度简化保持一致性的应用程序任务。

提供一致的事务处理模型。
DTC 支持各种资源管理器，包括关系数据库、面向对象的数据库、文件系统、文档存储系统和消息队列。

使用分布式软件组件进行软件开发。
DTC 提供简单、面向对象的应用程序编程接口来启动和控制事务。

这是一个拒绝服务漏洞。 虽然攻击者无法利用此问题来执行代码或提升他们的用户权限，但是它可能导致受影响的服务停止接受请求。

如果 Microsoft 分布式事务处理协调器由于受到攻击而停止响应，则不依赖于 Microsoft 分布式事务处理协调器的服务将继续正常运行。

对于需要受影响组件的客户，采用防火墙最佳做法和标准的默认防火墙配置可以帮助保护网络免受从企业外部发起的攻击。 按照最佳做法，应使连接到 Internet 的系统所暴露的端口数尽可能少。

禁用分布式事务处理协调器

禁用分布式事务处理协调器可以帮助防止受影响的系统尝试利用此漏洞。 若要禁用分布式事务处理协调器，请按照以下步骤执行操作：

您还可以通过在命令提示符处使用以下命令来停止和禁用分布式事务处理协调器：

sc stop MSDTC & sc config MSDTC start= disabled

变通办法的影响： 如果禁用了分布式事务处理协调器，您将无法使用依赖于分布式事务处理协调器的任何服务或应用程序。 这可能包括其他应用程序，如 SQL Server、BizTalk Server、Exchange Server 或 Message Queuing。 另外，在大多数群集配置中都需要此服务。 因此，我们建议您仅在无法安装安全更新的系统上使用此变通办法。

在所有不需要此功能的受影响系统上，使用组策略设置禁用分布式事务处理协调器。
由于分布式事务处理协调器可能会成为攻击媒介，因此请使用组策略设置将其禁用。 您可以通过使用 Windows 2000 或 Windows Server 2003 域环境中的“组策略”对象功能，在本地、站点、域或组织单位级别上禁用此服务的启动。 有关如何通过登录脚本禁用此服务的详细信息，请参阅 Microsoft 知识库文章 297789

注意 您还可以参阅 Windows 2000 安全强化指南。 此指南包含有关如何禁用服务的信息。

有关组策略的详细信息，请访问以下网站：

变通办法的影响： 如果禁用了分布式事务处理协调器，您将无法使用依赖于分布式事务处理协调器的任何服务或应用程序。 这可能包括其他应用程序，如 SQL Server、BizTalk Server、Exchange Server 或 Message Queuing。 另外，在大多数群集配置中都需要此服务。 因此，我们建议您仅在无法安装安全更新的系统上使用此变通办法。

禁用网络 DTC 访问

如果无法安装安全更新，并且无法禁用分布式事务处理协调器，您可能需要禁用“网络 DTC 访问”。 此选项仅在 Windows XP 和更高版本的操作系统上提供。 这仍允许完成本地事务处理，但是它帮助防止尝试利用此问题进行基于网络的攻击。 有关如何配置“网络 DTC 访问”的信息，请访问以下 Microsoft 网站。 若要禁用“网络 DTC 访问”，请按照以下步骤执行操作：

警告 如果受影响的服务以前未启动，执行此过程会启动该服务。 在您关闭配置对话框前，请停止 MSDTC 选项卡上的 MSDTC 服务。

HKLM\Software\Microsoft\MSDTC\Security\NetworkDtcAccess

变通办法的影响： 如果禁用“网络 DTC 访问”，则分布式事务处理可能失败。 这可能会影响其他应用程序，如 SQL Server、BizTalk Server、Exchange Server 或 Message Queuing。 因此，我们建议您仅在无法安装安全更新的系统上使用此变通办法。

在防火墙处阻止以下内容：

这些端口可以用于启动与 MSDTC 的连接。 将其阻止在防火墙处，有助于保护位于防火墙后面的系统免受利用此漏洞进行的攻击。 此外，确保阻止远程系统上的任何其他特殊配置的 RPC 端口。 我们建议阻止所有来自 Internet 的未经请求的入站通信，以帮助防止可能使用其他端口进行的攻击。 当 RPC 可以使用 UDP 端口 135、137、138、445 以及 TCP 端口 135、139、445 和 593 时，MSDTC 服务不会受这些端口影响。

注意 其他协议（如顺序包交换 (SPX) 或 NetBEUI）可以用于与 MSDTC 服务进行通信。 如果正在使用这些协议，您应该为这些协议阻止适当的端口。 有关 IPX 和 SPX 的详细信息，请访问以下 Microsoft 网站。

为防止攻击者执行基于网络的尝试以利用此漏洞，请使用个人防火墙，如 Internet 连接防火墙。Windows XP 和 Windows Server 2003 附带此防火墙。

默认情况下，Windows XP 和 Windows Server 2003 中的“Internet 连接防火墙”功能会通过阻止未经请求的传入通信来帮助保护您的 Internet 连接。 我们建议您阻止所有来自 Internet 的非法传入通信。

要使用网络安装向导启用 Internet 连接防火墙功能，请按照以下步骤进行操作：

要为连接手动配置 Internet 连接防火墙，请按照以下步骤进行操作：

注意 如果要通过防火墙启用某些程序和服务以进行通信，请单击“高级”选项卡上的“设置”，然后选择所需的程序、协议和服务。

为帮助防止攻击者试图基于网络利用此漏洞，请在支持高级 TCP/IP 筛选功能的系统上启用此功能。

可以启用高级 TCP/IP 筛选功能来阻止所有非法入站通信。 有关如何配置 TCP/IP 筛选功能的详细信息，请参阅 Microsoft 知识库文章 309798。

为帮助防止攻击者试图基于网络利用此漏洞，请通过在受影响的系统上使用 IPSec 来阻止受影响的端口。

使用 Internet 协议安全 (IPsec) 帮助保护网络通信。 Microsoft 知识库文章 313190 和 Microsoft 知识库文章 813878 提供了有关 IPsec 和如何应用筛选器的详细信息。RPC 使用的端口范围广泛，因而难于使用 IPsec 来保护所有端口。 Microsoft 知识库文章 908472 说明了如何将 RPC 通信限制为一组固定的端口以及如何使用 IPsec 保护这些端口。

降低企业的计算成本。
DTC 为联网、普通价格的 PC 和服务器的用户提供高级而价格低廉的分布式事务处理设备。

简化应用程序的开发。
不管在更新应用程序数据时发生任何故障，DTC 都可大幅度简化保持一致性的应用程序任务。

提供一致的事务处理模型。
DTC 支持各种资源管理器，包括关系数据库、面向对象的数据库、文件系统、文档存储系统和消息队列。

使用分布式软件组件进行软件开发。
DTC 提供简单、面向对象的应用程序编程接口来启动和控制事务。