| 警惕IE7 0DAY攻击代码已遭挂马攻击利用 |
| 作者：冰盾防火墙 网站：www.bingdun.com 日期：2008-12-11 |
| |
近日，国内安全团队近期捕获利用IE7一个内存越界的漏洞进行攻击的恶意代码。此漏洞于11月在小范围内泄露，于12月9日前后在地下流通，并且有人赶制出网马生成器，相信会在短期内十分流行。
IE7的XML里存在可以导致内存越界的漏洞，通过编写畸形XML代码并且使用JavaScript脚本操作SHELLCODE去执行任意代码。
在2008年下半年开始有流传IE7的漏洞，并于10月份左右开始流出私人买卖，于11月份流入黑市买卖，开始有人面谈出售。
最终出现在网络的具体时间为12月份，大量二手三手漏洞在黑产运作层流通，并且于12月份初开始有大量的人购买二手代码去开发生成器，在9号开始出现在挂马利用上。
影响版本：
系统：
WINDOWS XP
WINDOWS 2003
浏览器：
IE7
描述：
由于SDHTML里处理对象存在在错误导致内存紊乱。
构造某种条件可以使得SDHTML检测到错误释放已被分配的对象，但是释放已被分配的对象后SDHTML并未返回而是继续使用被释放的对象的内存执行，如果这些内存又被分配给其他用途，将导致SDHTML把这些内存当作一个对象来操作。0DAY挂马里使用了XML的SRC字符串对象占用了这些释放对象的空间，而对象指针里包含函数例程指针，最终导致代码执行 。
由于该漏洞尚未被修补，具体细节请等待微软官方发布补丁的详细参考。
防御：
1.请关注微软官方网站及时下载补丁。
2. 开启DEP保护：
系统属性——高级——性能——数据执行保护
可以防止恶意攻击。
3.将wwwwyyyyy.cn以及sllwrnm5.cn加入HOSTS进行屏蔽。
复制一下代码进入HOSTS即可：
127.0.0.1 wwwwyyyyy.cn
127.0.0.1 sllwrnm5.cn
Popularity: 17% [?] |
| |
|
| |
|
京ICP备14024464 公安备案号 京1081234