| |
|
IE-6的隐私解决方案适得其反 看起来很讽刺，但是在IE6中的隐私功能使得它可能对浏览器，Outlook和Outlook Express发动几个不同的攻击，安全研究员Thor Larholm发现。 “在IE6中增加的隐私特征帮助保护一个用户的隐私，通过给他们在cookie管理的直接控制，使得任何站点能够阅读任何其他站点的cookie，有效的溢出了所有的隐私。除此之外，这个漏洞扩展到其他的协议上，使得你能够在用户的机器上执行任意的命令，并且也能够控制MSN Messenger，”Larholm告诉我们。 问题在于IE的dialogArguments界面，这被设定来防止物体通过一个对话传递，但是这并不十分的彻底。 IE通过比较原始页面的位置来控制在远程页面和对话页面之间的交互作用，Larholm说。如果他们吻合，交互被容许了。但是他发现也可能使用HTTP重新定向来绕过这个规定，并且提供了几个无害的样例在他的建议中，读者自己能够用来试试。 我们在完全加过补丁的XP-pro系统下的IE6上实验过，他们如同建议中的那样发生了。虽然这个例子是无害的，但是对于这个错误的潜在可能性是值得令人担心的。还没有补丁，但是最完美的解决方法就是禁用脚本。 他告诉我们微软在3月18日就受到了通知，并且正在评估是否有需要公布一个补丁。Larholm也保留了一个没有加过补丁的页面，通过这个他希望能够鼓舞微软采取一些行动。 |
| Copyright By「黑白网络工作室」2002 All Rights Reserve |