什么是"小工具漏洞"？

Question

在最近的安全公告中,微软警告称" 小工具中的漏洞可能允许远程执行代码 ":

成功利用Gadget漏洞的攻击者可以在当前用户的上下文中运行任意代码.

(Microsoft安全通报2719662)

---

我真的不明白这一点.据我所知,小工具(按设计)基于HTML的应用程序运行完全信任!

完全信任

运行小工具的选择以与运行从Internet下载的任何应用程序的选择相同的方式呈现给用户.有关小工具作者的信息显示在一个对话框中,表明存在与此文件相关的风险.用户接受警告后,小工具将以与用户登录帐户关联的所有权限运行.

(MSDN:Windows边栏安全的小工具)

例如,没有什么可以阻止您添加

<script language="VBScript"> 
    Set shell = CreateObject("Wscript.Shell")
    shell.Run "notepad.exe"
</script> 

并从您的小工具执行任意命令.这是有效的,它是设计的.

显然,他们可以完成在本地用户上下文中运行的另一个应用程序可以执行的所有操作.那么,MS安全顾问提到哪些"可被利用" 的漏洞在哪里？

Answer 1

那么"小工具漏洞"就是这样的问题:

小工具所面临的风险与任何基于网络的应用程序所面临的风险相同,例如Man-In-The-Middle或代码注入.在大多数Web浏览器的早期版本中存在类似的问题,但是现代浏览器已经专门实现了控制以试图缓解许多这些问题.这些控件尚未在Gadgets平台中实现,因此容易受到众所周知且彻底讨论的攻击.
- 我们有你的小工具,黑帽子.

所以你可以看到主要的漏洞是没有控制来限制小工具运行没有约束的代码.

另一个问题:

微软已经表示已经发现一些Vista和Win7小工具不遵守安全编码实践,应该被视为对运行它们的系统造成风险.

所以确实运行任意代码是HTA的一部分,但因为侧边栏和小工具平台没有减轻它并且非常悲观,认为所有小工具程序员都会编写安全代码并且不会尝试利用或做小工具不是假设去做.

希望它回答你的问题.

我仍然认为这个问题很模糊,因为你说:他们允许运行任意代码,它是模型和概念的一部分而且它们没有减轻它,所以它的利用是什么？它已经被利用了...... - 这是整个想法:)

可以询问每个缺陷和攻击,这正是问题 - 它是设计上的一个问题,并且不安全,因为没有缓解,因为你真的能够运行和执行恶意代码而没有问题这些小工具有一个缺陷.

Answer 2

这些攻击是这样发生的：

1. 攻击者必须说服用户安装并启用易受攻击的小工具
2. 成功利用 Gadget 漏洞的攻击者可以获得与登录用户相同的用户权限。如果用户使用管理用户权限登录，成功利用此漏洞的攻击者可以完全控制受影响的系统。然后攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。

如您所见，如果您安装易受攻击的小工具，这很简单，现在告诉我谁授权了您的小工具？在世界野生网络中有很多假冒的小玩意。要小心。

微软还提供了一个禁用侧边栏和小工具的修补程序，您可以在此链接中找到： 微软咨询

他们取消了 Windows 8 中的小工具和侧边栏