内容简介：安全研究员 John Page 发现了一个 IE 漏洞，它允许黑客利用窃取 Windows 用户的数据。 根据 ZDNet 的介绍，这是一个 XXE（XML 外部实体）漏洞，如果用户打开了黑客特制的 .MHT 格式文件，远程攻击者就可以获取用户...
安全研究员 John Page 发现了一个 IE 漏洞，它允许黑客利用窃取 Windows 用户的数据。
根据 ZDNet 的介绍，这是一个 XXE（XML 外部实体）漏洞，如果用户打开了黑客特制的 .MHT 格式文件，远程攻击者就可以获取用户本地文件，并执行指令探测已安装应用版本信息，例如`C:\Python27\NEWS.txt`可以返回相关版本信息。
这个漏洞最特别的地方在于它不需要在用户启动 IE 的情况下发作，只要受影响的计算机上安装了 IE，那就可以被攻击。究其原因，.MHT 是 IE 用于其网络存档的文件格式，当前主流 Web 浏览器几乎都不支持它，Windows 上所有 .MHT 文件都被默认为使用 IE 打开，所以用户只需双击 Email 或聊天消息中接收的文件，就会中招。
该漏洞影响 Windows 7、10 与 Server 2012 R2，在研究人员将漏洞报告给微软后，对方回复会在之后的更新中“考虑”将其修复。很容易理解微软的做法，毕竟 IE 的 Web 浏览器市场份额现在不到 10%，而且 .MHT 格式也不是常用类型，那么这个漏洞的影响其实并不会很大。
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
猜你喜欢:
- 【漏洞预警】Coremail邮件系统配置文件信息泄露漏洞
- Safari信息泄露漏洞分析
- IIS短文件名泄露漏洞
- 挖洞经验 | Vine用户隐私信息泄露漏洞（$7560）
- 漏洞预警：Hadoop 未授权访问可导致数据泄露
- Linux kernel 信息泄露漏洞（CVE-2018-16658）
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
