微軟Windows中的一個漏洞可使攻擊者在快捷方式文件中自動執行代碼，這個攻擊的工作原理是什么，如何防范？
Judith Myerson：我們都會在控制面板、資源管理器和任務欄中使用Windows快捷方式文件，除了安全專家，大部分都是這樣。微軟支持使用LNK文件以快速訪問可執行文件或應用。
當Windows限制控制面板項目時，它會初始化每個對象以提供動態圖標功能，當Windows顯示這些圖標時，控制面板小程序將執行代碼。
攻擊者可指定惡意動態鏈接庫（DLL）和任意代碼，并將其放在USB驅動器、本地或遠程文件系統、CD-ROM或其他位置。USB驅動器可用于自動加載代碼到Windows控制面板的動態圖標上。通過Windows資源管理器查看快捷方式文件的位置足以觸發此漏洞。
而顯示這些文件圖標的其他應用可用作攻擊向量。LNK文件使用SpecialFolderDataBlock或KnownFolderDataBlock屬性來指定位置。這些文件可繞過Windows針對該漏洞的第一個修復程序部署的白名單功能，這個修復程序也被稱為CVE-2010-2568。這種繞過操作可用于誘騙Windows加載任意DLL文件，當受害者顯示惡意制作的快捷方式文件時，攻擊者可使用用戶的權限來執行任意代碼。
用戶可采用下面的三步驟解決方案來保護快捷方式文件：
阻止服務器消息塊（SMB）傳出流量；
禁用客戶端的WebDAV
阻止WebDAV傳出流量。
為了阻止SMB傳出流量，可阻止阻止端口139/TCP、139/UDP、445/ TCP和445/ UDP上的連接。這樣做可防止本地網絡連接到SMB服務器。
為了禁用Windows客戶端的WebDAV，請將WebClient服務的“啟動類型”屬性設置為“已禁用”。通過阻止WebDAV擴展到HTTP使用的方法，我們可在網絡水平阻止WebDAV傳出流量。
京公網安備 11010502049343號