微软：用保护模式降低IE Cookiejacking漏洞风险

微软正计划修复最近披露的一个IE漏洞(该漏洞可能被用于会话劫持攻击)，并建议在补丁发布前，使用浏览器的隐私保护浏览模式。

这种新型攻击(被称为cookiejacking)由意大利安全研究人员Rosario Valotta在阿姆斯特丹举行的HITB 2011会议上公布。

它利用了IE浏览器所有版本中都存在的一个漏洞，即允许会话cookie文件的内容在iframe中被加载，如果攻击者知道它们的完整路径的话。

然后，攻击者会使用点击劫持攻击和社会工程技术来诱使用户将假冒iframe的内容拖拉到受攻击者控制的相同页面的文件中。

为了演示这个漏洞，Valotta运用了篮球比赛来说明，其中用户被要求将球拖入篮筐，而球就掩藏了有针对性会话cookie的内容。

在Windows安全博客的一篇博文中，微软的Brandon LeBlanc表示，微软正在努力修复漏洞，并表示浏览器的InPrivate浏览功能可以帮助降低风险。

"IE浏览器的InPrivate浏览功能可以帮助阻止cookies从早前的浏览会话存储到你的电脑中，这意味着，即使在之前描述的情况下，也不会受到cookiejacking攻击，"他解释说。

事实上，隐私保护浏览模式阻止了对已保存在磁盘上cookie文件的房屋，但是更重要的是，它在内存中为当前会话存储了cookies。这意味着为cookiejacking攻击制造的页面不能被访问，不管是在较早的cookies中还是在当前会话中，因为没有路径。

微软发言人还指出，目前还没有发现利用这个漏洞的攻击，并且需要用户的交互才能成功发动攻击。可以通过在IE浏览器中按CTRL+SHIFT+P来启用InPrivate浏览功能。