安全研究
安全漏洞
Microsoft IE winhlp32.exe服务远程代码执行漏洞(MS10-022)
发布日期：2010-02-26
更新日期：2010-04-13
受影响系统：
Microsoft Internet Explorer 8.0描述：
Microsoft Internet Explorer 7.0
Microsoft Internet Explorer 6.0 SP1
Microsoft Internet Explorer 6.0
Microsoft Windows XP SP3
Microsoft Windows XP SP2
Microsoft Windows Server 2003 SP2
Microsoft Windows 2000SP4
Microsoft VBScript 5.8
Microsoft VBScript 5.7
Microsoft VBScript 5.6
Microsoft VBScript 5.1
BUGTRAQ ID: 38463
CVE ID: CVE-2010-0483
Internet Explorer是Windows操作系统中默认捆绑的web浏览器。
用户可以使用VBScript从IE调用winhlp32.exe服务，如果向该服务传送了恶意的.HLP文件就会导致执行任意命令。
必需一些用户交互才可以触发这个漏洞，在显示MsgBox弹出框时用户需要按下F1。以下是MsgBox函数的句法：
MsgBox(prompt[,buttons][,title][,helpfile,context])
可向helpfile参数传送远程samba共享。此外helpfile参数超长时还可以触发栈溢出，但在XP上winhlp32.exe编译了/GS标记，可有效的防范栈溢出。
<*来源：Maurycy Prodeus （z33d@isec.pl）
链接：http://isec.pl/vulnerabilities/isec-0027-msgbox-helpfile-ie.txt
http://secunia.com/advisories/38727/
http://blogs.technet.com/msrc/archive/2010/02/28/investigating-a-new-win32hlp-and-internet-explorer-issue.aspx
http://www.kb.cert.org/vuls/id/612021
http://www.microsoft.com/technet/security/advisory/981169.mspx?pf=true
http://www.microsoft.com/technet/security/bulletin/MS10-022.mspx?pf=true
http://www.us-cert.gov/cas/techalerts/TA10-103A.html
*>
测试方法：
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
<title>IE8, IE7 XP MsgBox PoC</title>
<body>
<script>
if(navigator.userAgent.indexOf('MSIE') < 0)
document.write('<b>Warn: Your browser isn\'t IE ? It won\'t work.</b>');
</script>
<br><br>
This is simple demo for IE8/IE7 (only WinXP) vulnerability described here:<br>
<a href="http://isec.pl/vulnerabilities/isec-0027-msgbox-helpfile-ie.txt">http://isec.pl/vulnerabilities/isec-0027-msgbox-helpfile-ie.txt</a>
<br><br><br>
[+] The first one should spawn calc.exe after pressing F1.
<br>
<FORM>
<INPUT TYPE="BUTTON" VALUE="Calc.exe" ONCLICK="window.location.href='box.html'">
</FORM>
<br><br>
[+] The second one triggers stack overflow in winhlp32 process.
<br>
<FORM>
<INPUT TYPE="BUTTON" VALUE="Stack Overflow" ONCLICK="window.location.href='box2.html'">
</FORM>
<br><br>
iSEC 2010 (C) <a href="http://twitter.com/mprodeus">maurycy prodeus</a>
</body>
</html>
建议：
临时解决方法：
如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：
* 网站提示时不要按下F1键。
* 限制对 Windows帮助系统的访问：
echo Y | cacls "%windir%\winhlp32.exe" /E /R everyone
* 将Internet Explorer配置为在Internet和本地Intranet安全区域中运行ActiveX控件和活动脚本之前进行提示。
* 将Internet 和本地Intranet安全区域设置设为“高”，以便在这些区域中运行ActiveX控件和活动脚本之前进行提示。
厂商补丁：
Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS10-022）以及相应补丁:
MS10-022：Vulnerability in VBScript Scripting Engine Could Allow Remote Code Execution (981169)
链接：http://www.microsoft.com/technet/security/bulletin/MS10-022.mspx?pf=true
浏览次数：3382
严重程度：0（网友投票）
绿盟科技给您安全的保障