| 印象中微软的操作系统总是众黑客挑战技术极限的实验场，作为操作系统厂商的微软，则总是像一个勤勤恳恳的裁缝，几乎无时无刻不在打补丁，而黑客们又始终都能找出无穷无尽的漏洞来。于是这件事便演变得相当有趣——黑客们总在兢兢业业钻漏洞，微软则总在勤勤恳恳打补丁，双方总是像在打一场处于拉锯状态的持久战。日前获得的消息再次证明了这场持久战的存在。本周二，微软再次更新了10个补丁，其中包括6个危急补丁。下面就让我们看看这次又是哪几个高危漏洞让微软寝食难安吧。
黑客总在兢兢业业钻漏洞，微软总在勤勤恳恳打补丁
CVE（Common Vulnerabilities and Exposures，通用漏洞披露）编号为CVE-2008-0083的漏洞。这个漏洞危及Windows Vista和Windows Server2008系统。
微软表示：“一个远程代码执行漏洞存在于网页里的VBScript和JScript脚本引擎的解码脚本之中。如果用户打开了特制文件或者访问了正在运行特制脚本的网站的话，这个漏洞将允许远程代码执行。同时，如果用户是登录了管理员账户，攻击者就可以成功利用这个漏洞，从而获得受感染系统的完全控制权。此时攻击者就能安装程序、浏览被感染电脑、改变或删除被感染电脑上的数据，或者创建拥有完全控制权的新账号，从而把受害用户的账号设定为更低的系统用户权限。在这个漏洞可能导致的攻击里，账户权限越低的用户受到的影响越小。”此漏洞由赛门铁克公司发现。
CVE编号为CVE-2008-1086的ActiveX Kill Bits漏洞。该漏洞存在于Windows 2000、各个版本的Windows XP、各个版本的Windows 2003、 Windows Vista以及Windows 2008操作系统里。
微软表示：“一个远程代码执行漏洞存在于ActiveX控件的hxvz.dll之中，攻击者能通过创立特殊处理过的网页来利用这个漏洞。当用户浏览了特殊处理过的网页的时候，此漏洞将允许远程代码执行。从而攻击者便可以成功利用这个漏洞获得与当前登录的用户相同的管理权限。”安全厂商iDefense公司的“漏洞贡献者计划”（Vulnerability Contributor Program，简称VCP）发现了这个漏洞。
CVE编号为CVE-2008-1085的漏洞
微软表示：“由于Internet Explorer浏览器处理数据流的方式，造成了在Internet Explorer浏览器之中存在一个远程代码执行漏洞。攻击者通过创立一个特殊处理过的网页便能利用这个漏洞进行攻击。当用户浏览过这个网页以后，该漏洞将允许远程代码执行，从而攻击者便能成功利用这个漏洞获得与当前登录用户相当的管理权限。”IE6和IE7在众多平台上都首当其冲，尤其是在Windows Vista和Windows Server 2008操作系统中。此漏洞由安全机构Secunia发现。
CVE编号为CVE-2008-1088的漏洞：
微软表示：“一个远程代码执行漏洞存在于Microsoft Project特别处理后的Project文件里。通过电子邮件附件的形式，以及经过一些特别处理过或者被黑掉的网站发送错误文件，攻击者便可以利用这个漏洞。”这个危及微软Microsoft Project Server 2003、Microsoft Project Server 2007、Portfolio Server 2007以及Project Server 2007的漏洞由韩国国家电脑安全中心发现。
最后是CVE编号分别为CVE-2008-1083和CVE-2008-1087的两个漏洞。这是两个GDI处理整数和文件名参数的方式里存在的漏洞，分别存在于EMF图像文件里。这两个漏洞由iDefense实验室的“零时差项目 （Zero Day Initiative，简称ZDI）”和安全厂商SkyRecon的研究人员共同发现。 |
