臺灣IT論壇

在Internet Explorer中,黑客7月7月初以來,以開放的瀏覽器安全漏洞在微軟的代碼,其中兩個是由於輸入錯誤。

("&")大俠符號,博客週二的安全開發生命週期(SDL微軟已經承認責任,公共網站的漏洞。

邁克爾霍華德,微軟Sekyuritipuroguramumaneja他的博客,使用的瀏覽器代碼腐敗的錯字ActiveX控件。 這種控制,微軟承認,霍華德的代碼有一個缺陷是使用舊的圖書館。 由於這些缺陷,錯字,壞人並不是一個可靠的接觸數據創建一個代碼瀏覽器。

是,微軟的IE瀏覽器,這是一個緊急修復的ActiveX宣布,為阻止企圖利用的控制。

微軟自己的Visual Studio代碼,Akutibutenpuretoraiburari(ATL)中是一個開發工具,使用相同的庫被稱為組件。 同一天,該公司,Visual Studio和發布了修復的IE瀏覽器發布了一個緊急補丁。

霍華德一直是筆誤,地方審查的代碼,而微軟也加入了代碼分析方式是明確宣布,這將是困難的。

在他的博客,在哪裡瓦爾多的高科技版本的霍華德“玩”,即使在很短的一行代碼中的一些挑戰的讀者,有人建議,1,請尋找一個字母的拼寫錯誤。

一直行的代碼,上面寫著:
__int64 cbSize;
時間= pStream - “讀((無效*)&cbSize,sizeof(cbSize)為NULL);
字節* pbArray;
的hresult時間= SafeArrayAccessData(PSA是一reinterpret_cast (&PbArray));
時間= pStream - “讀((無效*)&pbArray,(烏龍)cbSize,為NULL);

而神秘的讀者:
“你會線索-這是其中一個一個字母的拼寫錯誤。氏看看給出了錯誤的第一個參數是最後一行。您應該:時間= pStream - ”閱讀((無效*)pbArray,(烏龍)cbSize,為NULL);“

孔一開始,本月初,發現了一對德國研究人員。 托馬斯Dullien(Halvar片狀),首席執行官發現的博客和他的朋友丹尼斯埃爾瑟細節。 襲擊事件發生後,被稱為挖掘一些兩個單代碼,“&”字符被發現不必要的。

那麼它是怎樣做,以防止日後微軟錯字?

在他的博客,需要霍華德證實,該公司清理編碼過程。 他說,微軟已經宣布,將更新工具,可用來找到這些類型的錯誤。 該公司也是一個程序員,你需要使用新的ATL代碼。 在過去,微軟的程序員們使用的東西。 但是,霍華德說,在他的博客,“我不會改變我們的!”