Krytyczna luka w Internet Explorerze, czyli dziurawe sitko :D Opcje

[Spawnm]

Podczas niedawnych ataków na Google i inne firmy amerykańskie zauważono, że przestępcy wykorzystują m.in. nową, nieznaną dotychczas lukę w przeglądarce Internet Explorer.

Jak informuje Microsoft w swoim poradniku bezpieczeństwa, podatne są wersje 6, 7 oraz 8 Internet Explorera na systemach Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2 i Windows 2000 Service Pack 4. Niewrażliwy jest jedynie Internet Explorer 5.01 Service Pack 4 na Microsoft Windows 2000 Service Pack 4. Błąd leży w nieprawidłowej obsłudze wskaźnika i pozwala na zdalne wykonanie kodu na prawach użytkownika. Kodem tym może być np. backdoor dający możliwość zdalnego kontrolowania maszyny ofiary. W tym celu atakujący musi skłonić ofiarę do wejścia na stronę zawierającą exploit. Microsoft zwraca też uwagę, że szkodliwy kod może zostać dostarczony przez baner reklamowy. Atakujący nie musi więc tworzyć specjalnej strony a jedynie przygotować odpowiednio spreparowany banner a następnie rozpowszechnić go z pomocą jednego z wielu systemów reklamy internetowej.

Jako sposób ochrony Microsoft zaleca taką konfigurację zabezpieczeń aby Internet Explorer pytał przed uruchomieniem kontrolek ActiveX oraz Active Scripting. Pomocne będzie także włączenie mechanizmu DEP.




link

[emilyoo]

IE zawsze miało dziury , źle czytało kod . Jego jedynym plusem był fakt ,że od zawsze było dołączany do windowsa.Na szczęście się to zmieni . (chyba już weszło od 1 stycznia) .

[blooregard]

Jego jedynym plusem był fakt ,że od zawsze było dołączany do windowsa.

...żeby było czym szybko ściągnąć FF albo Operę po instalacji systemu

[Spawnm]

To ma być plus? Że instaluje mi się system z jakimś bublo-trojanem ?

[Hyena]

Hmm, z IE korzystam na co dzień (także do developowania, bo w IE spodobał mi się przycisk F12, a raczej to co się pod nim kryje) i jakoś mi to nie przeszkadza. Czuję się bezpiecznie, mimo, że wielu by za to wyśmiało. Po prostu nie wchodzę w wiadomo jakie strony.

Swoją drogą każda przeglądarka ma błędy bez względu na nazwę i pochodzenie (ale to dziwnie brzmi). A z tego co widzę, na na stronach MSu post na ten temat został opublikowany 14 stycznia, więc za niebawem jeżeli jest to na prawdę groźne pojawi się poprawka. W innych przeglądarkach jest zawsze podobnie, jeżeli ktoś wykryje lukę, to pojawi się na liście bugów i po paru dniach pojawi się poprawka - tak jest zawsze z każdym programem.

Przecież jakiś czas temu z FF można było wykonać dowolny program, i jakoś nikt takiego programu nie wykonał.

[vokiel]

Hmm, z IE korzystam na co dzień (także do developowania, bo w IE spodobał mi się przycisk F12, a raczej to co się pod nim kryje) i jakoś mi to nie przeszkadza. Czuję się bezpiecznie, mimo, że wielu by za to wyśmiało. Po prostu nie wchodzę w wiadomo jakie strony.

To ja będę pierwszy: HAHA
F12 - > Opera: DragonFly, Firefox: Firebug
"W wiadomo jakie strony" nie wchodzisz? Chyba nie czytałeś co napisał Spawnm, wystarczy, że ktoś stworzy banner z exploitem i zamówi sobie reklamę na fotce, n-k, onecie, czy innych stronach, które uważasz za bezpieczne.

Tak każda przeglądarka podlega tym mechanizmom, nawet więcej: każdy program. Ktoś je pisze, wypuszcza, inni znajdują błędy, informują i programiści poprawiają, wypuszczają poprawioną wersję. I tak w kółko.

Skąd wiesz, że nikt luki FF nie wykorzystał? Masz informacje o wszystkich użytkownikach tego programu?
A jeśli nie wykorzystał, to tym bardziej jest to argument przeciwko IE, bo tutaj luka została wykorzystana i to z dużym powodzeniem. Nie od parady się mówiło, że IE służy do przeglądania Internetu z komputera i na odwrót. Z kosmosu się to nie wzięło.

[Hyena]

...

To, że FF i Opera również posiadają tego typu narzędzie też wiem, w końcu cieszę się, że IE ma takie narzędzie - zintegrowane a nie dodawane z zewnątrz.

Fotki na szczęście nie używam N-K przestałem - onet czasami. Fakt, faktem, można coś takiego zrobić, ciekaw jestem kto mógłby to być i jak to zrobić

No i widać, że jak nie napisze się paru ważnych słów, to zdanie zmienia znaczenie:
Pisząc o luce w FF miałem na myśli 'siebie' - czyli nikt nie wykrozystał luki u mnie Być może ktoś u kogoś to wykorzystał (ba nawet wykorzystałem to u kumpla ), a opis jak zrobić to krok po kroku był przedstawiany nawet na blogach - luka w FF przez długi czas nie była naprawiona (dość długi, skoro mogłem kumplowi trochę namieszać w kompie)

Największym błędem w IE było dodanie obsługi ActiveX - dzięki temu łatwo można było zarządzać zdalnie kompem - stąd wzięło się to 'przysłowie'

Tak każda przeglądarka podlega tym mechanizmom, nawet więcej: każdy program. Ktoś je pisze, wypuszcza, inni znajdują błędy, informują i programiści poprawiają, wypuszczają poprawioną wersję. I tak w kółko.

No właśnie i w tym sięzupełnie zgadzamy, tylko zawsze mnie śmieszy to, że jak wyjdzie coś na temat luki w IE, to pojawia się tona negatywnych komentarzy, a jak pojawi się luka w innych przeglądarkach, to pojawia się komentarz w stylu "bo się czasami zdarza, jak w każdym programie".

BTW. Jak tkoś ma opisaną metodę, jak zrobić takiego exploita, to będę wdzięczny - tylko proszę nie w obrazku

[varez]

Hyena
to teraz ja Ci wysylam link do txt, na serwerze robie redirect, lub zmieniam mime i wysyłam jpg
no i leżysz
a Dragonfly jest zintegrowany z Operą
ps. dopóki nie używasz IE6 - świat Ci to wybaczy

Ten post edytował varez 18.01.2010, 09:41:27