安全专家称IE拖动漏洞严重

这个漏洞的实现过程是这样的，网页中含有一个很小的区域（比如：5x5像素），这个区域会自动跟随鼠标。当用户使用鼠标拖拽该网页的滚动条时，一个隐藏的图片（可以是木马）在同一时间也被拖动了，只要一松开鼠标按键，这个隐藏图片就会保存到开始菜单的启动项中（注：要保证鼠标松开的位置在浏览器中）。

　　“在浏览窗口的时候，拖拽滚动条是很平常的事情，”安全专家说道，“但对于普通用户来说，他们是无法接受一个陌生的程序此时会在机器中偷偷安装。”

　　安全专家的建议：如果你已经安装了sp2，在“Internet选项”选项的“安全”标签里单击“自定义级别”按钮，在弹出的对话框中的“ActiveX 控件和插件”里禁用“二进制和脚本行为”。

　　安全专家还提到，他们仅花了二十分钟便编写了关于此漏洞的实现代码，而遍布在世界各处的脚本研究高手将会有更多的时间完善这个漏洞攻击代码。安全专家提醒大家注意此漏洞的严重性。

漏洞演示:http://www.duba.net/download/soft/tdgdtld.rar

　　上周三，所有研究人员的目光都聚焦到预期的SP2查漏测试上。而最瞩目的报告是：http-equiv研究员发现了一个危害甚高的IE拖放漏洞。

　　微软回应：部分报告指出恶意用户能使用该漏洞骗过WinXP SP2系统上的Windows 安全中心。该个说法不准确。Windows安全中心并没有任何漏洞。要骗过它，黑客需有该计算机的本地管理员权限。况且，黑客即使得到访问系统的授权，不管是直接获得还是通过用户执行一个附件取得，他感兴趣的东西决不会只是Windows 安全中心。在WinXP SP2系统中，新增了默认的Windows 防火墙，数据执行防护，Outlook Express附件管理等功能， 足以减少恶意程序执行的机会。

原文转自：http://www.ltesting.net