IE浏览器可引用本地资源缺陷

运神

涉及程序：
Microsoft Internet Explorer 6.0 SP1
  
描述：
IE浏览器可引用本地资源缺陷
  
详细：   IE浏览器由于不能正确限制远程站点访问本地资源，远程攻击者可利用此缺陷通过构建恶意页面，诱使用户访问，在本地域中执行任意本地文件。  Internet Explorer version 6 SP1 由于没有正确限制远程站点通过file://或res:// URIs访问本地资源，这种限制可以通过其中一个协议在指定资源上增加一个'/'符号绕过。  如果结合其它安全缺陷，允许攻击者构建恶意的页面，当目标用户访问后在可预测位置中建立文件，并会通过畸形IFRAMES在本地域中执行。

  
攻击方法：
Mindwarper * （mindwarper@linuxmail.org）提供了如下测试方法（演示页面如下）：  http://www.mlsecurity.com/ie/ie.htm
  
解决方案：
目前厂商还没有提供补丁或者升级程序，建议用户随时关注厂商主页以获取最新版本：  http://www.microsoft.com/windows/ie/default.asp