Microsoft Internet Explorer合法脚本装载本地目录枚举漏洞

发布日期：2005-01-14
更新日期：2005-01-17

受影响系统：

Microsoft Internet Explorer 6.0
- Microsoft Windows XP
- Microsoft Windows NT 4.0 SP6a
- Microsoft Windows ME
- Microsoft Windows 98 SE
- Microsoft Windows 2000 SP3

描述：

---

Microsoft Internet Explorer是一款流行的WEB浏览器。

Microsoft Internet Explorer存在跨站脚本装载错误，远程攻击者可以利用这个漏洞判断目标系统中的目录或者文件是否存在。

攻击者可以构建一个WEB页，尝试从目标硬盘各个位置装载Windows默认提供的JavaScript，如果成功装载， 就可以判断系统目录是否存在，如Windows安装目录在何位置等。

<*来源：Berend-Jan Wever （skylined@edup.tudelft.nl）

链接：http://marc.theaimsgroup.com/?l=bugtraq&m=110572409024992&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Berend-Jan Wever （skylined@edup.tudelft.nl）提供了如下测试方法：

http://www.edup.tudelft.nl/~bjwever/advisory_ie_flaws.html.php

建议：

---

厂商补丁：

Microsoft
---------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.microsoft.com/windows/ie/default.asp

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!