發(fā)布日期： 2004-1-1
受影響系統(tǒng)：
Microsoft Internet Explorer 6.0SP1
Microsoft Internet Explorer 5.5SP2
Microsoft Internet Explorer 5.5SP1
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.0.1SP3
Microsoft Internet Explorer 5.0.1SP2
Microsoft Internet Explorer 5.0.1SP1
Microsoft Internet Explorer 5.0
Microsoft Internet Explorer 6.0
- Microsoft Windows XP Professional
- Microsoft Windows XP Home
- Microsoft Windows NT 4.0 SP6a
- Microsoft Windows ME
- Microsoft Windows 98 SE
- Microsoft Windows 98
- Microsoft Windows 2003 Web Edition
- Microsoft Windows 2003 Standard Edition
- Microsoft Windows 2003 Enterprise Edition 64-bit
- Microsoft Windows 2003 Enterprise Edition
- Microsoft Windows 2003 Datacenter Edition 64-bit
- Microsoft Windows 2003 Datacenter Edition
- Microsoft Windows 2000 Server SP2
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server
- Microsoft Windows 2000 Professional SP2
- Microsoft Windows 2000 Professional SP1
- Microsoft Windows 2000 Professional
- Microsoft Windows 2000 Datacenter Server SP2
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 9278
Microsoft Internet Explorer是一款流行的WEB瀏覽程序。
Microsoft Internet Explorer不正確處理部分URI請(qǐng)求，遠(yuǎn)程攻擊者可以利用這個(gè)漏洞構(gòu)建惡意WEB鏈接，誘使用戶訪問，會(huì)提示不正確的安全通告，欺騙用戶打開。
通過更改文件名，攻擊者可以欺騙瀏覽器，繞過文件的警告，如攻擊者構(gòu)建類似如下的WEB鏈接：
http://www.example.com/file.exe?.html
瀏覽器會(huì)顯示這個(gè)文件是html類型，而不是EXE文件類型，這會(huì)使用戶在欺騙的情況下，惡意文件到本地系統(tǒng)。
<*來源：Hugo Vázquez Caramés
鏈接：http://marc.theaimsgroup.com/?l=bugtraq&m=107212666606051&w=2
*>
測(cè)試方法：
--------------------------------------------------------------------------------
警 告
以下程序(方法)可能帶有攻擊性，僅供安全研究與教學(xué)之用。使用者風(fēng)險(xiǎn)自負(fù)！
Hugo Vázquez Caramés 提供了如下測(cè)試方法：
http://www.example.com/file.exe?.html
建議：
--------------------------------------------------------------------------------
廠商補(bǔ)?。?
Microsoft
---------
目前廠商還沒有提供補(bǔ)丁或者升級(jí)程序，我們建議使用此軟件的用戶隨時(shí)關(guān)注廠商的主頁以獲取最新版本：
http://www.microsoft.com/windows/ie/default.asp
