Krytyczna luka w Internet Explorerze, czyli dziurawe sitko :D Opcje

[Spawnm]

Podczas niedawnych ataków na Google i inne firmy amerykańskie zauważono, że przestępcy wykorzystują m.in. nową, nieznaną dotychczas lukę w przeglądarce Internet Explorer.

Jak informuje Microsoft w swoim poradniku bezpieczeństwa, podatne są wersje 6, 7 oraz 8 Internet Explorera na systemach Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2 i Windows 2000 Service Pack 4. Niewrażliwy jest jedynie Internet Explorer 5.01 Service Pack 4 na Microsoft Windows 2000 Service Pack 4. Błąd leży w nieprawidłowej obsłudze wskaźnika i pozwala na zdalne wykonanie kodu na prawach użytkownika. Kodem tym może być np. backdoor dający możliwość zdalnego kontrolowania maszyny ofiary. W tym celu atakujący musi skłonić ofiarę do wejścia na stronę zawierającą exploit. Microsoft zwraca też uwagę, że szkodliwy kod może zostać dostarczony przez baner reklamowy. Atakujący nie musi więc tworzyć specjalnej strony a jedynie przygotować odpowiednio spreparowany banner a następnie rozpowszechnić go z pomocą jednego z wielu systemów reklamy internetowej.

Jako sposób ochrony Microsoft zaleca taką konfigurację zabezpieczeń aby Internet Explorer pytał przed uruchomieniem kontrolek ActiveX oraz Active Scripting. Pomocne będzie także włączenie mechanizmu DEP.




link

[vokiel]

Hmm, z IE korzystam na co dzień (także do developowania, bo w IE spodobał mi się przycisk F12, a raczej to co się pod nim kryje) i jakoś mi to nie przeszkadza. Czuję się bezpiecznie, mimo, że wielu by za to wyśmiało. Po prostu nie wchodzę w wiadomo jakie strony.

To ja będę pierwszy: HAHA (IMG:style_emoticons/default/biggrin.gif)
F12 - > Opera: DragonFly, Firefox: Firebug
"W wiadomo jakie strony" nie wchodzisz? Chyba nie czytałeś co napisał Spawnm, wystarczy, że ktoś stworzy banner z exploitem i zamówi sobie reklamę na fotce, n-k, onecie, czy innych stronach, które uważasz za bezpieczne.

Tak każda przeglądarka podlega tym mechanizmom, nawet więcej: każdy program. Ktoś je pisze, wypuszcza, inni znajdują błędy, informują i programiści poprawiają, wypuszczają poprawioną wersję. I tak w kółko.

Skąd wiesz, że nikt luki FF nie wykorzystał? Masz informacje o wszystkich użytkownikach tego programu?
A jeśli nie wykorzystał, to tym bardziej jest to argument przeciwko IE, bo tutaj luka została wykorzystana i to z dużym powodzeniem. Nie od parady się mówiło, że IE służy do przeglądania Internetu z komputera i na odwrót. Z kosmosu się to nie wzięło.

[Hyena]

...

To, że FF i Opera również posiadają tego typu narzędzie też wiem, w końcu cieszę się, że IE ma takie narzędzie - zintegrowane (IMG:style_emoticons/default/smile.gif) a nie dodawane z zewnątrz.

Fotki na szczęście nie używam (IMG:style_emoticons/default/smile.gif) N-K przestałem - onet czasami. Fakt, faktem, można coś takiego zrobić, ciekaw jestem kto mógłby to być (IMG:style_emoticons/default/smile.gif) i jak to zrobić (IMG:style_emoticons/default/tongue.gif)

No i widać, że jak nie napisze się paru ważnych słów, to zdanie zmienia znaczenie:
Pisząc o luce w FF miałem na myśli 'siebie' - czyli nikt nie wykrozystał luki u mnie (IMG:style_emoticons/default/smile.gif) Być może ktoś u kogoś to wykorzystał (ba nawet wykorzystałem to u kumpla (IMG:style_emoticons/default/tongue.gif) ), a opis jak zrobić to krok po kroku był przedstawiany nawet na blogach - luka w FF przez długi czas nie była naprawiona (dość długi, skoro mogłem kumplowi trochę namieszać w kompie) (IMG:style_emoticons/default/smile.gif)

Największym błędem w IE było dodanie obsługi ActiveX - dzięki temu łatwo można było zarządzać zdalnie kompem - stąd wzięło się to 'przysłowie'

Tak każda przeglądarka podlega tym mechanizmom, nawet więcej: każdy program. Ktoś je pisze, wypuszcza, inni znajdują błędy, informują i programiści poprawiają, wypuszczają poprawioną wersję. I tak w kółko.

No właśnie i w tym sięzupełnie zgadzamy, tylko zawsze mnie śmieszy to, że jak wyjdzie coś na temat luki w IE, to pojawia się tona negatywnych komentarzy, a jak pojawi się luka w innych przeglądarkach, to pojawia się komentarz w stylu "bo się czasami zdarza, jak w każdym programie".

BTW. Jak tkoś ma opisaną metodę, jak zrobić takiego exploita, to będę wdzięczny - tylko proszę nie w obrazku (IMG:style_emoticons/default/smile.gif)