跨站腳本攻擊另微軟不得不再修復(fù)IE8漏洞

Win7之家（ afsion.com.cn）：跨站腳本攻擊另微軟不得不再修復(fù)IE8漏洞

研究人員Eduardo Vela Nava和David Lindsay上個(gè)星期在黑帽會(huì)議上演示了黑客如何利用IE8的跨站腳本過濾器對(duì)本來應(yīng)該有免疫能力的網(wǎng)站實(shí)施的攻擊。跨站腳本過濾器是微軟去年發(fā)布的IE8測(cè)試版中的一項(xiàng)反惡意軟件功能。這個(gè)演示促使微軟決定更新IE8瀏覽器。研究人員稱，容易受到這種攻擊的網(wǎng)站包括微軟自己的Bing搜索引擎、 Digg、Google、Twitter、Wiki百科等許多網(wǎng)站。

這兩位研究人員稱，IE8使用一種“中性化”技術(shù)阻止跨站腳本攻擊的企圖，問題是攻擊者能夠?yàn)樽约旱哪康牟僮鬟@種機(jī)制。他們?cè)诤诿睍?huì)議上發(fā)表的論文稱，攻擊者能夠利用這種行為阻止客戶端安全功能發(fā)揮作用。在某種情況下，這會(huì)導(dǎo)致在跨站腳本攻擊。

雖然微軟在今年1月和3月發(fā)布的應(yīng)急補(bǔ)丁MS10-002和MS10-018中已經(jīng)處理了Vela Nava和Lindsay提出的一些攻擊情況，但是，微軟本周一稱，它會(huì)發(fā)布一個(gè)跨站腳本過濾器更新軟件以阻止另一個(gè)可能的攻擊途徑。

微軟安全響應(yīng)中心的一位工程師David Ross在博客中稱，這種變化將解決黑帽歐盟會(huì)議上演示的一種腳本標(biāo)簽攻擊情況。與安全補(bǔ)丁不同的是，IE8瀏覽器的跨站腳本過濾器一般是動(dòng)態(tài)更新的并且是在后臺(tái)更新的。但是，微軟發(fā)言人本周二說，微軟計(jì)劃在6月份發(fā)布這個(gè)補(bǔ)丁而不是立即發(fā)布這個(gè)補(bǔ)丁是為了給企業(yè)一些時(shí)間進(jìn)行測(cè)試。