Websites

Metasploit gibt IE-Angriff frei, aber es ist unzuverlässig

Ethical Hacking Full Course - Learn Ethical Hacking in 10 Hours | Ethical Hacking Tutorial | Edureka

Ethical Hacking Full Course - Learn Ethical Hacking in 10 Hours | Ethical Hacking Tutorial | Edureka
Anonim

Entwickler des quelloffenen Metasploit-Penetrationstest-Toolkits haben Code veröffentlicht, der den Internet Explorer von Microsoft kompromittieren kann, aber die Software ist nicht so zuverlässig wie zuerst gedacht.

Der Code nutzt einen Internet Explorer-Bug aus, der am vergangenen Freitag veröffentlicht wurde Proof-of-Concept-Angriff auf die Bugtraq-Mailingliste. Dieser erste Code war unzuverlässig, aber Sicherheitsexperten befürchteten, dass bald jemand eine bessere Version entwickeln würde, die von Cyber-Kriminellen übernommen würde.

Der ursprüngliche Angriff verwendete eine "Heap-Spray" -Technik, um die Sicherheitslücke in IE auszunutzen. Aber für eine Weile sah es so aus, als hätte das Metasploit-Team einen zuverlässigeren Exploit veröffentlicht.

[Weiterführende Literatur: So entfernen Sie Malware von Ihrem Windows-PC]

Sie benutzten eine andere Technik, um den Fehler auszunutzen Pionier von den Forschern Alexander Sotirov und Marc Dowd, aber Metasploit zog schließlich seinen Code.

"Der Fehler selbst ist unzuverlässig", sagte Metasploit Entwickler HD Moore in einer Twitter-Nachricht am Mittwoch. Der Metasploit-Code versuchte, den Fehler auf zwei Arten auszunutzen, von denen einer "problematisch" war und der andere die Heap-Spray-Technik war, die bereits ineffektiv gewesen war.

Microsoft sagte am Mittwochnachmittag per E-Mail, dass es "Wussten derzeit nichts von Angriffen in die Wildnis, die den Exploit-Code oder irgendeinen Kundeneinfluss verwenden."

Das sind gute Nachrichten für IE-Benutzer, da ein zuverlässiger Angriff viele Menschen betreffen würde. Die beiden Versionen des Browsers, IE 6 und IE 7, werden von etwa 40 Prozent der Internetnutzer verwendet.

Das Unternehmen hat eine Sicherheitsempfehlung herausgegeben, die Workarounds bietet, um den Fehler zu vermeiden. Laut Microsoft ist der neuere IE 8-Browser davon nicht betroffen.

Der Fehler liegt in der Art, wie der IE bestimmte Cascading Style Sheet (CSS) -Objekte abruft, mit denen ein standardisiertes Layout auf Webseiten erstellt wird. Betroffene IE-Benutzer können ihren Browser aktualisieren oder JavaScript deaktivieren, um einen Angriff zu vermeiden.