微软Windows中的一个漏洞可使攻击者在快捷方式文件中自动执行代码，这个攻击的工作原理是什么，如何防范？

Judith Myerson：我们都会在控制面板、资源管理器和任务栏中使用Windows快捷方式文件，除了安全专家，大部分都是这样。微软支持使用LNK文件以快速访问可执行文件或应用。

当Windows限制控制面板项目时，它会初始化每个对象以提供动态图标功能，当Windows显示这些图标时，控制面板小程序将执行代码。

攻击者可指定恶意动态链接库（DLL）和任意代码，并将其放在USB驱动器、本地或远程文件系统、CD-ROM或其他位置。USB驱动器可用于自动加载代码到Windows控制面板的动态图标上。通过Windows资源管理器查看快捷方式文件的位置足以触发此漏洞。

而显示这些文件图标的其他应用可用作攻击向量。LNK文件使用SpecialFolderDataBlock或KnownFolderDataBlock属性来指定位置。这些文件可绕过Windows针对该漏洞的第一个修复程序部署的白名单功能，这个修复程序也被称为CVE-2010-2568。这种绕过操作可用于诱骗Windows加载任意DLL文件，当受害者显示恶意制作的快捷方式文件时，攻击者可使用用户的权限来执行任意代码。

用户可采用下面的三步骤解决方案来保护快捷方式文件：

阻止服务器消息块（SMB）传出流量；

禁用客户端的WebDAV

阻止WebDAV传出流量。

为了阻止SMB传出流量，可阻止阻止端口139/TCP、139/UDP、445/ TCP和445/ UDP上的连接。这样做可防止本地网络连接到SMB服务器。

为了禁用Windows客户端的WebDAV，请将WebClient服务的“启动类型”属性设置为“已禁用”。通过阻止WebDAV扩展到HTTP使用的方法，我们可在网络水平阻止WebDAV传出流量。

微信公众号

TechTarget

官方微博

TechTarget中国