受影响系统:
Microsoft Internet Explorer 6.0SP1
描述:
--------------------------------------------------------------------------------
BUGTRAQ ID: 8886
Microsoft Internet Explorer是一款流行的WEB浏览程序。
Microsoft Internet Explorer不正确限制远程站点访问本地资源,远程攻击者可以利用这个漏洞通过构建恶意页面,诱使用户访问,在本地域中执行任意本地文件。
Internet Explorer version 6 SP1没有正确限制远程站点通过file://或res:// URIs访问本地资源,这种限制可以通过其中一个协议在指定资源上增加一个/符号绕过。
结合其他漏洞,允许攻击者构建恶意的页面,当目标用户访问后在可预测位置中建立文件。并通过畸形IFRAMES在本地域中执行。
<*来源:Mindwarper * (mindwarper@linuxmail.org)
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=106701523330541&w=2
*>
测试方法:
--------------------------------------------------------------------------------
警 告
以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!
Mindwarper * (mindwarper@linuxmail.org)提供了如下测试方法:
一个演示页面如下:
http://www.mlsecurity.com/ie/ie.htm
建议:
--------------------------------------------------------------------------------
厂商补丁:Microsoft
---------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
http://www.microsoft.com/windows/ie/default.asp