日前，Windows Vista系统又被发现存在一个严重安全漏洞，当使用谷歌拼音输入法时，恶意用户可以绕过用户认证获得管理员权限。安全小组经过测试分析，确认了该漏洞的存在，主要问题在于Vista系统对于输入法状态的判断错误，致使能够接触计算机终端或通过终端服务访问的恶意用户，可以利用此漏洞绕过Windows的用户登录认证获取机器的管理员权限。

漏洞研究专家称，此漏洞非常类似以前影响Windows2000的MS00-069漏洞，虽然本质上是本地问题，但通过终端服务也有可能远程利用，利用MS00-069漏洞由此成为当年最流行的入侵Windows2000系统的方法之一，当前这个漏洞与MS00-069在成因和利用方法基本一致，具备相同的安全威胁。

专家同时指出，该漏洞的利用与具体的各种输入法功能设计有关，目前已经确认可以利用的输入法有谷歌拼音输入法(1.0.15.0版本)、极点五笔输入法，其他设计不当的第三方的输入法也很可能受此问题影响。Vista自带输入法尚未发现存在这一问题。据安全专家分析，黑客可以利用该漏洞在无管理员密码的情况下登录系统，获得系统SYSTEM权限，从而完全控制操作系统，他们可以删除文件、格式化硬盘、安装木马……，使得Vista的安全机制行同虚设。谷歌输入法刚刚发布，网上就出现了利用该漏洞攻击Vista系统的“教程”，即使不懂电脑的人，也可以按照些操作取得管理员权限。

安全专家回顾，Windows 2000系统也曾因为输入法漏洞而出现过类似问题，后来微软发布了专门的补丁程序。目前看来，Vista系统在防止输入法漏洞方面并没有得到改善，仍然十分容易遭到某些安全性能低下的输入法影响。该人士指出，从前段时间大家所关注的ANI漏洞到输入法漏洞，表明Vista在某些方面延续了Windows2000、XP等“前辈”的缺点，因此其宣称的“划时代”的安全性，实在不能让人放心。

针对该安全漏洞，安全专家比喻道，这好比是门和门框之间出现的缝隙，专家建议广大用户，在Vista上最好使用系统自带的输入法软件，或者等待微软发布补丁程序，以及输入法提供商发布不存在漏洞的新版本。

http://www.hacker.cn/News/xtaq/2007-4-11/074111413E0C2J0D177E069GC85DE.shtml