• 爱情文章
  • 亲情文章
  • 友情文章
  • 生活随笔
  • 校园文章
  • 经典文章
  • 人生哲理
  • 励志文章
  • 搞笑文章
  • 心情日记
  • 英语文章
  • 范文大全
  • 作文大全
  • 新闻阅读
  • 当前位置: 山茶花美文网 > 心情日记 > 正文

    命令注入漏洞 Microsoft,Internet,Explorer,FTP含命令注入漏洞

    时间:2020-02-19来源:山茶花美文网 本文已影响 山茶花美文网手机站

    受影响系统:

    Microsoft Internet Explorer 6.0.2900.2180

    Microsoft Internet Explorer 5.01 不受影响系统:

    Microsoft Internet Explorer 7.0 描述:

    Internet Explorer是微软发布的非常流行的WEB浏览器。 如果用户访问了包含有恶意FTP URL的网页的话,Internet Explorer 5和6解码可能无法正确地过滤URL,强制Internet Explorer通过在HTML元素所提供的URL中每条命令后注入URL编码的CRLF对连接起FTP命令。

    <iframe src="ftp://user@site:port/ DELE foo.txt //"/>

    此外,如果恶意URL的末尾添加了两个斜线的话,Internet Explorer就会试图使用同一浏览器会话中用户之前所创建的已通过预认证的连接。 如果用户已将通过预认证连接到FTP服务器,知道了该连接用户名和端点的攻击者就可以依附到用户会话以执行任意命令。预认证连接不是这种攻击所必须的条件,因为如果URL中没有指定用户名的话,Internet Explorer就会尝试匿名登录。如果仅指定了用户名,没有将结尾的斜线附加到字符串,Internet Explorer就会发送带有空口令的用户名;如果没有指定用户名,Internet Explorer就会试图使用IEUser@用户登录。 某些攻击可能取决于目标FTP服务器所使用的命令tokenize策略及安全配置,例如,大多数FTP服务器不允许与请求客户端不同地址端点的PORT请求。 厂商补丁:

    目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本: http://www.microsoft.com/windows/ie/default.asp

    • 爱情文章
    • 亲情文章
    • 友情文章
    • 随笔
    • 哲理
    • 励志
    • 范文大全