WinXP安全漏洞系統(tǒng)6

九、Authenticode驗(yàn)證中的漏洞

「漏洞描述」：Authenticode 中存在一個(gè)缺陷，在內(nèi)存較低的某種情況下，它可以允許 ActiveX 控件下載和安裝，并且不會(huì)提示用戶予以同意。為了利用此漏洞，黑客可以向用戶發(fā)送特殊形式的 HTML 電子郵件，如果你查看了該 HTML 電子郵件，你的系統(tǒng)中則可能安裝和執(zhí)行未經(jīng)授權(quán)的 AcitiveX 控件。或者，黑客設(shè)立一個(gè)惡意的 Web 站點(diǎn)，放上利用此漏洞的Web 頁，如果你訪問該站點(diǎn)，你的系統(tǒng)中就可能會(huì)安裝和執(zhí)行 AcitiveX 控件。

「解決辦法」：下載安裝該問題的安全補(bǔ)丁，下載地址http://www.microsoft.com/china/security/Bulletins/MS03-041.asp，如果不能安裝補(bǔ)丁，應(yīng)該通過更改Internet 安全區(qū)域的設(shè)置來禁止下載 ActiveX 組件，防備針對(duì)此漏洞的攻擊，操作步驟：在 Internet Explorer 中，選擇“工具”/Internet 選項(xiàng)，單擊“安全”選項(xiàng)卡，選擇“Internet”圖標(biāo)，然后單擊“自定義級(jí)別”按鈕，在“下載已簽名的 ActiveX 控件”下，單擊“禁用”（如下圖），最后單擊“確定”。

以上操作之后，你可以將信任的站點(diǎn)添加到 Internet Explorer的“可信”站點(diǎn)中，以便繼續(xù)照常使用可信Web站點(diǎn)，同時(shí)又避免在非可信站點(diǎn)中遭受此攻擊，具體步驟：在 Internet Explorer 中，選擇“工具”/Internet 選項(xiàng)，單擊“安全”選項(xiàng)卡中的“可信站點(diǎn)”，然后單擊“站點(diǎn)”，如果想添加不需要加密頻道的站點(diǎn)，清除“對(duì)該區(qū)域中的所有站點(diǎn)要求服務(wù)器驗(yàn)證（https：）”復(fù)選框，在標(biāo)為“將該 Web 站點(diǎn)添加到區(qū)域中”的框中，鍵入信任的站點(diǎn) URL（例如http://windowsupdate.microsoft.com），然后單擊“添加”按鈕，添加完所有站點(diǎn)后，單擊“確定”。

;注意：如果使用了OutLook 2002 或 Outlook Express 6.0 或更高版本，要使自己不受 HTML 電子郵件攻擊媒介的危害，可以使用純文本格式閱讀電子郵件。