2020管理与战略咨询百强
全世界各行各业联合起来,internet一定要实现!
老文章正文

IE文件下载通告可绕过漏洞

2004-02-16 eNet&Ciweek

  发布日期: 2004-1-1

  受影响系统:

  Microsoft Internet Explorer 6.0SP1

  Microsoft Internet Explorer 5.5SP2

  Microsoft Internet Explorer 5.5SP1

  Microsoft Internet Explorer 5.5

  Microsoft Internet Explorer 5.01

  Microsoft Internet Explorer 5.0.1SP3

  Microsoft Internet Explorer 5.0.1SP2

  Microsoft Internet Explorer 5.0.1SP1

  Microsoft Internet Explorer 5.0

  Microsoft Internet Explorer 6.0

  - Microsoft Windows XP Professional

  - Microsoft Windows XP Home

  - Microsoft Windows NT 4.0 SP6a

  - Microsoft Windows ME

  - Microsoft Windows 98 SE

  - Microsoft Windows 98

  - Microsoft Windows 2003 Web Edition

  - Microsoft Windows 2003 Standard Edition

  - Microsoft Windows 2003 Enterprise Edition 64-bit

  - Microsoft Windows 2003 Enterprise Edition

  - Microsoft Windows 2003 Datacenter Edition 64-bit

  - Microsoft Windows 2003 Datacenter Edition

  - Microsoft Windows 2000 Server SP2

  - Microsoft Windows 2000 Server SP1

  - Microsoft Windows 2000 Server

  - Microsoft Windows 2000 Professional SP2

  - Microsoft Windows 2000 Professional SP1

  - Microsoft Windows 2000 Professional

  - Microsoft Windows 2000 Datacenter Server SP2

  - Microsoft Windows 2000 Datacenter Server SP1

  - Microsoft Windows 2000 Datacenter Server

  - Microsoft Windows 2000 Advanced Server SP2

  - Microsoft Windows 2000 Advanced Server SP1

  - Microsoft Windows 2000 Advanced Server

  描述:

  --------------------------------------------------------------------------------

  BUGTRAQ ID: 9278

  Microsoft Internet Explorer是一款流行的WEB浏览程序。

  Microsoft Internet Explorer不正确处理部分URI请求,远程攻击者可以利用这个漏洞构建恶意WEB链接,诱使用户访问,会提示不正确的安全通告,欺骗用户打开。

  通过更改文件名,攻击者可以欺骗浏览器,绕过文件的警告,如攻击者构建类似如下的WEB链接:

  http://www.example.com/file.exe?.html

  浏览器会显示这个文件是html类型,而不是EXE文件类型,这会使用户在欺骗的情况下,恶意文件到本地系统。

  <*来源:Hugo Vázquez Caramés

  链接:http://marc.theaimsgroup.com/?l=bugtraq&m=107212666606051&w=2

  *>

  测试方法:

  --------------------------------------------------------------------------------

  警 告

  以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!

  Hugo Vázquez Caramés 提供了如下测试方法:

  http://www.example.com/file.exe?.html

  建议:

  --------------------------------------------------------------------------------

  厂商补丁:

  Microsoft

  ---------

  目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

  http://www.microsoft.com/windows/ie/default.asp

  

相关频道: eNews 老文章

您对本文或本站有任何意见,请在下方提交,谢谢!

投稿信箱:tougao@enet16.com
广告