IE7 第一个正式漏洞--弹窗窗口 URL 欺诈漏洞

      安全专家近日发现了 Internet Explorer 7 中存在的一个缺陷，该缺陷可以帮助恶意攻击者伪装一个钓鱼式欺诈行为。而形成一种讽刺意味的是，微软在 Internet Explorer 7 中主推的安全防护之一就是反钓鱼。

      安全检测公司 Secunia 当地时间周三对外称，上周发布的 IE7，允许一个站点弹出一个可能包含欺诈性网站地址的窗口。Secunia 在安全警告中称，攻击者可能会利用该漏洞对用户造成一种假象，认为他们正在访问的是一个可信任站点，而事实上他们正在查看的是一个恶意页面。

      “这个问题的存在，使弹出窗口只能显示地址栏的一部分，从而对用户形成欺骗，以致其进行一些无意识的操作，”Secunia 说道。该公司还进行了一个演示，在演示中，弹出窗口的地址栏显示的微软的网站地址，而显示的是来自 Secunia 的内容。漏洞利用演示地址

      对此，一名微软负责人在一封电子邮件中解释到，该问题存在于IE7地址栏中显示网站地址的方式。该负责人还说，攻击者可能会通过诱使一个用户点击一个特殊格式的链接，从而利用该漏洞发起攻击。

      微软方面称，弹出窗口将阻止网站地址的剩余部分。“然而，点击浏览器窗口或者地址栏，并按住鼠标左键，一直的向右移动选择内容，将会显示全部的 URL。”在 Secunia 演示的情况中，利用这种方式可以将 Secunia 的 URL 显示出来。

      微软方面还称，如果一个网站是一个已知的钓鱼式站点，利用该漏洞的攻击是不会成功的，因为IE7反钓鱼防护将标识这些站点，并对用户发出警告。微软方面表示，它并不担心真的使用该漏洞所发起的任何攻击。

      IE7 是微软旗下著名的 Internet Explorer 浏览器在近五年之内的第一个主要升级。安全是该升级版本的主打优势，而反钓鱼则是微软所关注的一个主要目标。

      Secunia 评定为“低等级”安全级别的欺诈性漏洞，看上去是微软浏览器中爆出的第一个真正的、公开披露的漏洞。微软方面称，早先爆出的那个安全漏洞并非怪罪于 IE7，完全是存在于 Outlook Express 中。

      微软表示，将继续对此问题进行跟踪，并提供一个浏览器补丁对其作出修补。目前尚未发现该缺陷遭到实际利用，而且相关补丁会在今后提供。微软斥责了公开该漏洞的匿名人士，因为其希望安全问题能够秘密地揭露，这样它可以在被公众获悉之前作出修补。

      用句比较俗的话说就是：虽然 IE7 和 Firefox2 已经发布，但一切才刚刚开始。