歡迎光臨
每天分享高質量文章

谷歌團隊黑掉Windows記事本

來自:開源中國

鏈接:https://www.oschina.net/news/107141/googles-team-hacks-windows-notepad

據 Threatpost 的報告,谷歌的 Project Zero 團隊已成功地將記事本(Windows Notepad)轉換為一個完整系統訪問的入口。

該團隊的 Tavis Ormandy 在記事本中發現記憶體損壞漏洞,這個漏洞允許黑客用特定格式錯誤的檔案,讓軟體提供遠程 Shell 訪問 —— 這意味著黑客可能完全接管系統。

這個問題的具體細節尚未透露,Travis 表示已通知微軟,微軟有長達 90 天的時間,在漏洞披露之前修複這個問題。

“記事本暴露的攻擊面很少,但它仍足以讓攻擊者運行任意代碼”,White Note 創始人 Dan Kaminsky 表示,我們不能因為記事本簡單,就覺得它肯定很安全。

與此同時,也有知情研究人員指出,黑客在記事本中打開檔案之前,需要先獲取標的。而除了已經棄用的 IE 11,這種情況一般不會發生。“在今天IE 發佈緩解措施後,除非坐在電腦前,否則你無法在系統上啟動記事本”,Kaminsky 解釋。

值得一提的是,記事本也是不少開發者常用的軟體 —— 畢竟它似乎是打開未知檔案最方便安全的方式。但現在看來,這種做法是否 “安全”,可能得打個問號了。

已同步到看一看
赞(0)

分享創造快樂