漏洞概述

Microsoft Windows Media Services (WMS) 隨附的 ISAPI 擴充 nsiislog.dll 存在遠端緩衝區溢位漏洞。攻擊者發送超長惡意 POST 請求，可導致 IIS 停止回應（DoS）或在伺服器上以 IIS 背景程式權限執行任意程式碼（RCE）。受影響版本：Windows 2000 SP1/SP2/SP3、Windows Server 2003（含 SP1）。

漏洞觸發條件

1. 伺服器已安裝並啟用 Windows Media Services（預設埠 7007）。
2. 伺服器同時運行 IIS（預設埠 80），且 IIS 指令碼目錄（Scripts）存在 nsiislog.dll。

兩者缺一不可。預設安裝 Win2000 不含 WMS，需手動「新增/移除程式」安裝後才會部署該 DLL。

風險評估

• CVSS 2.0 評分： 7.5 (High) — 遠端可利用、低複雜度、無需認證、部分機密性/完整性/可用性影響。
• 實測結果： 公開測試程式 mediaoverflow.exe 可在 TCP 7788 綁定 Shell，取得 Guest 權限命令列存取。雖權限較低，但可作為提權跳板。
• DoS 風險： 亦可輕易導致 IIS 停止服務，造成業務中斷。

緊急緩解措施（臨時方案）

1. 移除或重命名 nsiislog.dll：

   rename %windir%\system32\inetsrv\nsiislog.dll nsiislog.dll.bak

   或刪除該檔案。不影響 Windows Media Services 正常串流功能，僅失去 IIS 記錄客戶端資訊能力。

2. 停用 WMS ISAPI 擴充對應： IIS 管理員 → 網站 → 屬性 → 主目錄 → 設定 → 應用程式對應，移除 .nslog 或相關副檔名對應。
3. 封鎖埠 7007/80 入站： 防火牆/網路邊界限制非必要存取，僅允許受信任管理 IP。

根本修補方案

下載並安裝 Microsoft 官方安全性更新：

• MS06-XXX：Windows Media Services 緩衝區溢位漏洞修補程式（請以實際公告編號為準）。
• 建議透過 WSUS/SCCM/Intune 統一部署至全網主機，並驗證安裝狀態。

驗證修補有效性

1. 掃描埠 7007、80 確認服務狀態。
2. 使用 mediaoverflow.exe 或 Nessus/Nmap 腳本（http-vuln-cve2006-xxxx）進行非侵入式掃描驗證。
3. 檢查 %windir%\system32\inetsrv\nsiislog.dll 版本號是否符合修補版本（檔案內容 → 詳細資料）。

資產盤點與持續管理

• 使用 Superscan、Nmap、Masscan 定期掃描內網資產，識別同時開放 80/7007 的主機。
• 建立 CMDB 標記「已安裝 WMS」與「已修補」狀態。
• 納入脆弱性管理週期：每月掃描、評分、修補、驗證、報告。

結語

此漏洞雖需雙重條件，但內網媒體伺服器常被忽略。管理員應立即盤點資產、套用臨時緩解、部署官方修補，並建立持續脆弱性管理流程，避免成駭客跳板。