IE 的安全性漏洞让骇客得以窃取文件

PC 的老用户应该对 IE 的「网页封存」格式 MHT 不算太陌生,虽然从来没有获得广泛的使用,但在网络时代的早期,想要将网页打包成一个文档,MHT 算是比较简单的一种方式。只是随着时代演进,将网页完整存下来的难度愈来愈高,这样的格式使用的人也就愈来愈少了。不过,存成 MHT 依然是 IE 的一个选项,更重要的,在没有什么其他人使用的情况下,MHT 的预设开启软件通常也还是 IE。

这也是由安全研究专家John Page所发现的这个漏洞危险的地方。John Page所发现的这个漏洞他发现了 IE 处理 MHT 的方式,可以允许骇客绕过 ActiveX 的安全性防护,直接执行 XML 的外部实体。由于 Windows 预设以 IE 开启 MHT 文档,如果 MHT 文件以邮件附件或天室文档之类的方式寄送的话,点了之后就有可能中标。受影响的 Windows 版本包括 Windows 7、Windows 10、与 Windows Server 2012 R2。

据称 Page 是先联络了微软,但微软只表示会「考虑」在未来推出补丁,拒绝立即处理这个漏洞,所以 Page 才选择公开这个漏洞的细节,希望能引起公众注意。总之,基本的安全常识告诉我们,任何附件文件都别乱开,只是如果看到 MHT 的话要格外小心,甚至如果知道操作方式的话,可以试着将 MHT 的预设开启软件指向别的地方啰。

深圳站 编辑 两斤

发表评论