Microsoft 安全性公告 MS08-078 - 重大

在網頁式攻擊的案例中，攻擊者可架設一個網站，並在其中包含利用此弱點的網頁。 此外，受侵害的網站以及接受或存放使用者提供之內容或廣告的網站裡，也可能包含蓄意製作以利用本弱點的內容。 但是，攻擊者無法強迫使用者造訪網站， 而是引誘使用者自行前往。一般的做法是設法讓使用者按一下電子郵件或 Instant Messenger 訊息中通往攻擊者網站的連結。

成功利用此弱點的攻擊者可以取得與本機使用者相同的使用者權限。 系統上帳戶使用者權限較低的使用者，其受影響的程度比擁有系統管理權限的使用者要小。

依照預設，Windows Vista 與更新版本上 Internet Explorer 7 和 Internet Explorer 8 Beta 2 的受保護模式，可以透過限制啟動另一個程式或未經使用者同意儲存檔案的要求，保護使用者及其系統免受惡意下載的影響。 這包括使用者或系統檔案和設定。

將網際網路及近端內部網路安全性區域設定為 [高]，系統在這些區域執行 ActiveX 控制項及動態指令碼前，便會先行提示

只要將網際網路安全性區域設定變更為執行 ActiveX 控制項及動態指令碼處理前先提示，即可防範這個弱點遭到利用。 作法是將瀏覽器的安全性設定為 [高]。

若要在 Internet Explorer 中提高瀏覽器的安全層級，請依照下列步驟執行：

注意：如果沒有顯示滑桿，按一下 [預設層級]，再將滑桿移至 [高安全性]。

注意：設定為 [高安全性] 層級可能會使部分網站無法正確運作。 如果變更這項設定之後，您在使用網站時遇到問題，而又確定該網站安全無虞能放心使用，便可將該網站加入信任的網站清單中。 如此一來，即使採用 [高安全性] 設定，該網站仍可正確運作。

因應措施的影響。 執行 ActiveX 控制項和動態指令碼之前先提示的設定會產生副作用。 許多網際網路及內部網路的網站使用 ActiveX 或動態指令碼提供額外的功能。 例如，線上電子商務網站或銀行網站會利用 ActiveX 控制項提供功能表、訂單、甚至是帳戶明細。 執行 ActiveX 控制項或動態指令碼處理前先提示屬於通用設定，會影響所有網際網路及內部網路網站。 使用這個因應措施的話，您會時常收到提示。 每次出現提示時，如果您覺得可以信任該網站，請按 [是] 執行 ActiveX 控制項或動態指令碼。 如果您不要收到這些網站的提示，請改用「將信任的網站加入 Internet Explorer [信任的網站] 區域」的步驟。

將信任的網站加入 Internet Explorer [信任的網站] 區域

當您完成設定，使 Internet Explorer 在網際網路區域及近端內部網路區域執行 ActiveX 控制項及動態指令碼處理前會顯示提示之後，即可將信任的網站加入 Internet Explorer [信任的網站] 區域。 之後您就可以依照平時習慣使用信任的網站，同時預防不信任網站的這類攻擊。 我們建議您只將信任的網站加入 [信任的網站] 區域。

請依照下列步驟執行：

注意：您可以加入任何您相信不會對您的系統進行惡意動作的網站。 建議您加入 *.windowsupdate.microsoft.com 與 *.update.microsoft.com 這兩個網站。這些網站提供各項更新，並需要 ActiveX 控制項才能安裝更新。

設定 Internet Explorer，以便在執行動態指令碼之前先行提示或停用網際網路及近端內部網路安全性區域內的動態指令碼

只要將設定變更為在執行或停用網際網路及近端內部網路安全性區域內的動態指令碼之前先提示，即可防範這個弱點遭到利用。 請依照下列步驟執行：

注意：在網際網路和近端內部網路安全性區域中停用動態指令碼，可能會導致部分網站無法正確運作。 如果變更這項設定之後，您在使用網站時遇到問題，而又確定該網站安全無虞能放心使用，便可將該網站加入信任的網站清單中。 這樣就能讓網站正確運作。

因應措施的影響：執行動態指令碼前先提示的設定會產生副作用。 許多網際網路及內部網路的網站使用動態指令碼提供額外的功能。 例如，線上電子商務網站或銀行網站會利用動態指令碼提供功能表、訂單、甚至是帳戶明細。 執行動態指令碼前先提示屬於通用設定，會影響所有網際網路及內部網路網站。 使用這個因應措施的話，您會時常收到提示。 每次出現提示時，如果您覺得可以信任該網站，請按 [是] 執行動態指令碼。 如果您不要收到這些網站的提示，請改用「將信任的網站加入 Internet Explorer [信任的網站] 區域」的步驟。

將信任的網站加入 Internet Explorer [信任的網站] 區域

當您完成設定，使 Internet Explorer 在網際網路區域及近端內部網路區域執行 ActiveX 控制項及動態指令碼處理前會顯示提示之後，即可將信任的網站加入 Internet Explorer [信任的網站] 區域。 之後您就可以依照平時習慣使用信任的網站，同時預防不信任網站的這類攻擊。 我們建議您只將信任的網站加入 [信任的網站] 區域。

請依照下列步驟執行：

注意：您可以加入任何您相信不會對您的系統進行惡意動作的網站。 建議您加入 *.windowsupdate.microsoft.com 與 *.update.microsoft.com 這兩個網站。這些網站提供各項更新，並需要 ActiveX 控制項才能安裝更新。

停用 XML 資料島功能

警告：如果使用「登錄編輯程式」的方式錯誤，可能造成嚴重問題，以致於您必須重新安裝作業系統。 Microsoft 無法保證您可以解決因為不正確使用 [登錄編輯程式] 所造成的問題。 請自行承擔使用 [登錄編輯程式] 的風險。

從提高權限的命令提示字元執行下列命令，建立登錄機碼的備份：

Regedit.exe /e Disable_XML_Island_backup.reg HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}

針對 Windows Vista 和 Windows Server 2008，請取得 [HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}] 的擁有權，如下所示：

接著，將以下項目儲存到副檔名為 .REG 的檔案中 (例如 Disable_XML_Island.reg)：

Windows 登錄編輯程式版本 5.00
[-HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]

從提高權限的命令提示字元，以下列命令執行 Disable_XML_Island.reg：

Regedit.exe /s Disable_XML_Island.reg

因應措施的影響： HTML 中的內嵌 XML 可能無法正確呈現。

如何復原因應措施

從提高權限的命令提示字元，執行下列命令以還原為原始狀態：

Regedit.exe /s Disable_XML_Island_backup.reg

如何復原安全性摘要報告 961051 中所介紹的因應措施

Microsoft 安全性摘要報告 961051 針對此因應措施介紹手動登錄變更的方法。 如果您曾經使用這種方法，而現在想要復原此因應措施，請使用下列登錄檔案：

Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]
@="MsxmlIsland"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\InProcServer32]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,73,00,\
78,00,6d,00,6c,00,33,00,2e,00,64,00,6c,00,6c,00,00,00
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\TypeLib]
@="{D63E0CE2-A0A2-11D0-9C02-00C04FC99C8E}"

以整合層級 ACL 限制 Internet Explorer 使用 OLEDB32.dll

這個因應措施僅適用於 Windows Vista 和更新作業系統，且需要啟用 UAC 提示和「受保護模式」(預設設定)。

將下列文字儲存到暫存目錄：

針對 32 位元系統

儲存到名稱如下的文字檔： "BlockAccess_x86.inf"

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

針對 64 位元系統

儲存到名稱如下的文字檔： "BlockAccess_x64.inf"

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

以系統管理員身分從暫存目錄執行下列命令：

SecEdit /configure /db BlockAccess.sdb /cfg <inf file>

在命令完成後，您應該會看見下列訊息：

工作成功完成。
有關詳細資訊，請參閱 %windir%\security\logs\scesrv.log 記錄檔。

驗證因應措施

若要驗證因應措施是否套用成功，請在命令提示字元執行下列命令：

針對 32 位元系統

icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

針對 64 位元系統

icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"
icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

每當您執行 icacls，請在輸出中搜尋下行。

Mandatory Label\Medium Mandatory Level:(NW,NR,NX)

因應措施的影響： 任何在 Internet Explorer 中執行的非通用 ADO/OLE DB 應用程式，將會停止運作。 由於所有其他以 [中等] 或更高整合層級執行的程序將仍能載入 dll 並加以使用，因此影響將會是最小的。

如何復原因應措施

將下列文字儲存到暫存目錄：

針對 32 位元系統

儲存到名稱如下的文字檔： "unBlockAccess_x86.inf"

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

針對 64 位元系統

儲存到名稱如下的文字檔： "unBlockAccess_x64.inf"

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

以系統管理員身分從暫存目錄執行下列命令：

SecEdit /configure /db UnblockAccess.sdb /cfg <inf file>

在命令完成後，您應該會看見下列訊息：

工作成功完成。
有關詳細資訊，請參閱 %windir%\security\logs\scesrv.log 記錄檔。

停用 OLEDB32.dll 的資料列位置功能

警告：如果使用「登錄編輯程式」的方式錯誤，可能造成嚴重問題，以致於您必須重新安裝作業系統。 Microsoft 無法保證您可以解決因為不正確使用 [登錄編輯程式] 所造成的問題。 請自行承擔使用 [登錄編輯程式] 的風險。

從提高權限的命令提示字元執行下列命令，建立登錄機碼的備份：

Regedit.exe /e Disable_Row_Position_backup.reg HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}

針對 Windows Vista 和 Windows Server 2008，請取得 [HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}] 的擁有權，如下所示：

接著，將以下項目儲存到副檔名為 .REG 的檔案中 (例如 Disable_Row_Position.reg)：

Windows 登錄編輯程式版本 5.00
[-HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}]

從提高權限的命令提示字元，以下列命令執行 Disable_Row_Position.reg：

Regedit.exe /s Disable_Row_Position.reg

因應措施的影響： 使用 RowPosition 屬性和相關資訊的所有 ADO 應用程式將會停止運作。 使用 OLE DB 資料列位置程式庫的所有 OLE DB 應用程式將會停止運作。

如何復原因應措施

從提高權限的命令提示字元，執行下列命令以還原為原始狀態：

Regedit.exe /s Disable_Row_Position_backup.reg

解除登錄 OLEDB32.DLL

以系統管理員的身分，在命令提示字元中執行下列指令：

因應措施的影響： 所有 OLE DB 和 ADO 應用程式將停止運作。 這包括所有 ASP/ADO 實作、SQL Server 連結的服務、使用 System.Data.OLEDB 命名空間的 .NET 應用程式，以及一些存取外部資料的 Office 功能。

如何復原因應措施

以系統管理員的身分，在命令提示字元中執行下列指令：

使用 ACL 以停用 OLEDB32.DLL

以系統管理員的身分，在命令提示字元中執行下列指令：

因應措施的影響： 所有 OLE DB 和 ADO 應用程式將停止運作。 這包括所有 ASP/ADO 實作、SQL Server 連結的服務、使用 System.Data.OLEDB 命名空間的 .NET 應用程式，以及一些存取外部資料的 Office 功能。

如何復原因應措施

以系統管理員的身分，在命令提示字元中執行下列指令：

為 Windows Vista 和 Windows Server 2008 上的 Internet Explorer 7 啟用 DEP

本機系統管理員以「系統管理員」身分執行 Internet Explorer 即可控制 DEP/NX。 若要啟用 DEP，執行下列步驟：

因應措施的影響： 某些瀏覽器延伸可能無法與 DEP 相容，而且可能會意外結束。 如果該情況發生，您可以停用附加元件，或使用網際網路控制台回復 DEP 設定。 另外也可以使用系統控制台進行存取。

停用 Internet Explorer 8 Beta 2 中的資料繫結支援

執行下列步驟：

因應措施的影響： 這個因應措施會關閉所有安全性區域的資料繫結。 任何使用資料繫結來存取的網站將無法正確呈現。

如何復原因應措施

使用下列登錄檔案移除功能控制機碼：

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_DATABINDING_SUPPORT]

停用 XML 資料島功能

以整合層級 ACL 限制 Internet Explorer 使用 OLEDB32.dll

停用 OLEDB32.dll 的資料列位置功能

解除登錄 OLEDB32.dll

使用 ACL 以停用 OLEDB32.dll