发布日期：2010-01-15
更新日期: 2010-01-18
受影响的软件及系统：
====================
Microsoft Internet Explorer 8.0
Microsoft Internet Explorer 7.0
Microsoft Internet Explorer 6.0 SP1
Microsoft Internet Explorer 6.0
综述：
======
Microsoft IE是微软Windows操作系统自带的浏览器软件。
IE在处理非法的事件操作时存在内存破坏漏洞，远程攻击者可能利用此漏洞通过诱使用户访问恶意网页在用户系统上执行指令。
目前针对该漏洞的攻击代码已经公开。
分析：
======
该漏洞是在IE浏览器解析HTML过程中出现的问题。
如果在事件中引用某个已删除的元素，就会触发一个虚函数指针调用操作。因为元素被删除后，原来虚函数指针对应的内存已经用来存放其它数据，所以此时会将一处不确定的内存数据作为指针进行执行。
通过精心构造内存中的数据结合Heap Spray等技术有可能利用此漏洞执行任意指令。
此漏洞是一个0day漏洞，证实影响IE 6/7/8版本，已被利用来攻击一些大型公司的网络，有可能被用来大规模进行挂马攻击。
解决方法：
==========
Windows用户可以采用下面几种临时解决方案来减少漏洞威胁：
* 将Internet Explorer配置为在Internet和本地Intranet安全区域中运行ActiveX控件和活动脚本之前进行提示。
* 将Internet 和本地Intranet安全区域设置设为“高”，以便在这些区域中运行ActiveX控件和活动脚本之前进行提示。
* 对Internet Explorer 6 SP2或Internet Explorer 7启用DEP。
方法1：下载安装微软提供的开启DEP补丁：
http://download.microsoft.com/download/C/A/D/CAD9DFDF-AF35-4712-B876-B2EEA708495C/MicrosoftFixit50285.msi
方法2：手工开启全局DEP：
对于Windows XP用户，如果之前没有手工调整过DEP策略，请点击开始菜单的“运行”，输入“sysdm.cpl”，点击“确定”。点击“高级”分页，然后点击“性能”分栏中的“设置”按钮。选择“数据执行保护”分页，选择“除所选之外，为所有程序和服务启用数据执行保护”。然后点击下面的“确定”按钮。这个操作可能需要重新启动系统后生效。
厂商状态：
==========
微软尚未提供漏洞补丁，但已经为此发布了一个安全公告：
http://www.microsoft.com/technet/security/advisory/979352.mspx
附加信息：
==========
http://www.chinesehonker.org/News/Report/2010-01-18/3593.html
http://www.microsoft.com/technet/security/advisory/979352.mspx
声 明
==========
本安全公告仅用来描述可能存在的安全问题，红客联盟不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，红客联盟以及安全公告作者不为此承担任何责任。
关于红客联盟
============
中国红客联盟（www.chinesehonker.org）是一个专业研究计算机取证、代码审计、黑箱测试、渗透测试、安全维护、安全咨询及安全培训的网络安全组织，凭借多年来从事计算机取证、代码审计、黑箱测试、渗透测试、安全维护等领域的研究和工作经验，组织在成立至今聚集了一批对于网络安全、代码审计、入侵取证有着专业知识的人才，在国内互联网安全领域当中有着一定的地位。
我们相信以我们对于技术的执着，对于用户以及合作方的诚信、协作的态度，一定会在网络安全领域创出自己独有的一片蓝天。
