利用McAfee资讯 研究人员公布新IE漏洞攻击代码

CNET科技资讯网3月15日国际报道 一名以色列安全研究人员，针对微软几天前揭露的Internet Explorer未修补漏洞，发布攻击代码。

微软在通告中警告，可导致攻击者控制整台电脑的IE 6/IE 7新漏洞，已被用来发动攻击。

公开散布攻击代码将增加零时差攻击发生的机会，并可迫使微软在下个月的安全更新日前，提早修补该漏洞。

研究人员Moshe Ben Abu上周在博客发布他的作品，并且已将这段程序代码加入开源的Metasploit数据库中。

他是根据McAfee博客上的信息，发现已经散布在外的攻击代码，然后利用10分钟进行反流程混淆，精确锁定该漏洞，制作出自己的攻击代码。Ben Abu表示，就算没有McAfee的帮助，他迟早也会找到原始的攻击代码。

至于这个零时差漏洞有多严重，他表示：“这个弱点影响IE6和IE7，不包括最新版的IE 8，但许多人仍使用较旧的版本。此外，这个攻击代码非常不稳定，只有60%到70%的成功率。因此我认为这个问题是严重的，但不影响更新到最新版IE的使用者。”

微软针对此漏洞的通告，内含暂时的替代方案，但仍建议IE 6和IE 7使用者即刻升级到IE 8。

McAfee发言人表示，未来该公司对其博客提供的细节，将会更谨慎。McAfee在声明中指出：“McAfee Labs不支持散布攻击代码，尤其是在安全补丁发布前。我们定期清理博客内容，以防范提供可能协助攻击者的信息，同时也为安全社区的顾客提供服务，协助改善其安全层级。此次涉及的文章，并未包含可直接引导任何人取得攻击代码的足够信息。然而，我们遗憾在这次独特的情况中，该文确实含有赋予程序代码作者猎寻到攻击代码的起点。未来的文章将进行额外的检查。”