执着追求和不断的分析，这是走向成功的双翼。不执着，便容易半途而废；不分析，便容易一条道走到天黑。
受影响系统：
Microsoft Internet Explorer 6.0.2900.2180
Microsoft Internet Explorer 5.01
不受影响系统：
Microsoft Internet Explorer 7.0
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 28208
Internet Explorer是微软发布的非常流行的WEB浏览器。
如果用户访问了包含有恶意FTP URL的网页的话，Internet Explorer 5和6解码可能无法正确地过滤URL，强制Internet Explorer通过在HTML元素所提供的URL中每条命令后注入URL编码的CRLF对连接起FTP命令。
[iframe src="ftp://user@site:port/ DELE foo.txt //"/]
此外，如果恶意URL的末尾添加了两个斜线的话，Internet Explorer就会试图使用同一浏览器会话中用户之前所创建的已通过预认证的连接。 如果用户已将通过预认证连接到FTP服务器，知道了该连接用户名和端点的攻击者就可以依附到用户会话以执行任意命令。预认证连接不是这种攻击所必须的条件，因为如果URL中没有指定用户名的话，Internet Explorer就会尝试匿名登录。如果仅指定了用户名，没有将结尾的斜线附加到字符串，Internet Explorer就会发送带有空口令的用户名；如果没有指定用户名，Internet Explorer就会试图使用IEUser@用户登录。 某些攻击可能取决于目标FTP服务器所使用的命令tokenize策略及安全配置，例如，大多数FTP服务器不允许与请求客户端不同地址端点的PORT请求。 <*来源：Derek Abdine 链接：http://secunia.com/advisories/29346/ http://www.rapid7.com/advisories/R7-0032.jsp *> 建议： -------------------------------------------------------------------------------- 厂商补丁： Microsoft --------- 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本： http://www.microsoft.com/windows/ie/default.asp
以上就是微软IE5与IE6存在 FTP跨站命令注入漏洞 。世界上在忧虑的永远不会是天才或庸人，而是介于这两者之间的人。这些人有点小聪明，却又不够聪明，不懒，但也不够勤奋。他们就这样在自己的位置来回走动。更多关于微软IE5与IE6存在 FTP跨站命令注入漏洞 请关注haodaima.com其它相关文章！