Microsoft Internet Explorer合法脚本装载本地目录枚举漏洞
发布日期： 2005年1月23日
涉及程序：
Microsoft IE程序
描述：
Microsoft Internet Explorer合法脚本装载本地目录枚举漏洞
详细：
Microsoft Internet Explorer是一款流行的WEB浏览器。
Microsoft Internet Explorer存在跨站脚本装载错误，远程安全者可以利用这个漏洞判断目标系统中的目录或者文件是否存在。
安全者可以构建一个WEB页，尝试从目标硬盘各个位置装载Windows默认提供的JavaScript，如果成功装载， 就可以判断系统目录是否存在，如Windows安装目录在何位置等。
<*来源：Berend-Jan Wever （skylined@edup.tudelft.nl）
链接：http://marc.theaimsgroup.com/?l=bugtraq&m=110572409024992&w=2
*>
受影响系统：
Microsoft Internet Explorer 6.0
- Microsoft Windows XP
- Microsoft Windows NT 4.0 SP6a
- Microsoft Windows ME
- Microsoft Windows 98 SE
- Microsoft Windows 2000
安全方法：
以下程序(方法)可能带有安全性，仅供安全研究与教学之用。使用者风险自负！
Berend-Jan Wever （skylined@edup.tudelft.nl）提供了如下测试方法：
http://www.edup.tudelft.nl/~bjwever/advisory_ie_flaws.html.php
解决方案：
厂商补丁：
Microsoft
---------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.microsoft.com/windows/ie/default.asp
