受影响的系统: RedHat Linux 7.0 描述: -------------------------------------------------------------------------------- BUGTRAQ ID: 3335 随同Red Hat Linux 7.0一起发布的Apache存在一个配置错误，导致远程攻击者可能列 举该主机上存在的用户。 如果远程攻击者发送一个如下请求的话， http://www.example.com/~ 那么一般会有以下三种情况： 1.如果用户存在，并且配置好了自己的个人主页，那么服务器返回该用户的首页。 2.如果用户存在，但是还没有配置自己的个人主页，那么服务器返回： "You don\'t have permission to Access /~username on this server." 3.如果用户不存在，那么服务器返回： "The requested URL /~username was not found on this server." 利用不同情况返回不同错误信息，导致远程攻击者可能列举主机用户名。 <*来源：Alexander A. Kelner （
[email protected]） 参考： http://archives.neohapsis.com/archives/bugtraq/2001-09/0111.Html *> -------------------------------------------------------------------------------- 建议: 我们建议你安装补丁程序之前，采用如下临时解决方法： 1.关闭缺省打开的“UserDir”选项 % echo \'UserDir Disabled\' >> /var/www/conf/httpd.conf 2.替换路径名URL % echo \'ErrorDocument 404 http://localhost/sample.html\' >> /var/www/conf/httpd.conf % echo \'ErrorDocument 403 http://localhost/sample.html\' >> /var/www/conf/httpd.conf % sudo apachectl restart 厂商补丁： 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商 的主页以获取最新版本： http://www.redhat.com
（出处：http://www.sheup.com）