【IT168 专稿】当我们这些忙碌的网络管理员迎来新的月份的时候，安全界的漏洞和缺陷再次暴露，与之相关的补丁也应运而生，可以丝毫不夸张的说漏洞攻击与安全防范永远是不停息的战斗。下面就让各位IT168的读者跟随笔者来看看本月第一周出现的安全事件吧。
一、老病新犯——IE6漏洞再现微软迅速回应
 |
根据美国计算机突发事件应付小组(US-CERT)和安全机构SecurityFocus的报告，以及微软安全响应中心的回应，IE6中关键的ActiveX数据对象(ADO)数据库控制(ADODB.Connection)存在缺陷，该漏洞可导致内存溢出，进而造成整个浏览器崩溃。
实际上此漏洞早在7年前就被某技术人员发现于Office 2000的VBA宏中，因此本次漏洞问题可以说是老病新犯了。
漏洞危害——通过此漏洞攻击者只需要6个指令长度的JavaScript，就能造成错误的SQL声明，轻易使ADO控制过载，从而可以通过IE6远程执行恶意代码。
漏洞后果——微软认为该漏洞的危险等级并不高，只会被恶意攻击者用来实施强迫下载。
漏洞解决——一般情况微软将在下周的月度安全补丁日中修复这一漏洞。不过目前该漏洞如何解决呢？实际上作为暂时性的预防措施，各位用户可以在浏览器中禁用ActiveX插件的加载来解决。
二、漏洞百出——IE7迎来第三个漏洞：
万众期待的IE7从19日发布到现在还不足半个月，安全漏洞已经出现三个。我们在上两周的“每周问安”栏目中已经介绍过之前发现的两个安全漏洞了。
第三个安全漏洞属于Windows注入缺陷，该漏洞会导致合法网站被破坏。利用该漏洞黑客可以构造出特殊代码，然后利用自己的网站替换掉正常的网站。另外如果目标网站的窗口标题是已知的，就可以将另一个网站的内容注入其中，恶意网站可以籍此替换掉可信任网站弹出窗口的内容进而欺骗用户。感兴趣的读者可以到http://secunia.com/multiple_browsers_window_injection_vulnerability_test/这个演示页面查看具体漏洞现象。
漏洞解决——和第二个IE7漏洞一样这次还是浏览器对弹出窗口的控制问题出现了瑕疵。虽然IE7本可以抵御利用新漏洞发起的攻击，不过如果黑客配合利用之前的第二个漏洞，IE7就无能为力了。当然如果开启IE7的弹出窗口屏蔽功能，可以在很大程度上弥补这一漏洞，因此开启弹出窗口屏蔽功能后此问题可以解决。
小提示：
实际上这个漏洞不光存在于IE7中，反而在IE7中可以通过一些必要手段来避免。而其他浏览器诸如旧版的IE6和Firefox 1.5以及同样刚发布的Firefox 2.0也都存在这一漏洞，尤为严重的是Firefox 1.5即使开启弹出窗口屏蔽功能也无济于事。
