Windows XP SP2 MHTML 畸形 Content-Location 繞過區域鎖定漏洞分析

漏洞基本資訊

根因分析：MHTML 處理邏輯缺陷

MHTML (MIME HTML) 封裝網頁與資源於單一檔案。IE 解析 Content-Location 標頭時，若其值指向 intranet 區域 URL（如 news://malware/），但檔案實際從本機或信任區域載入，IE 錯誤地將腳本置於 本機電腦區域 執行，繞過 Intranet 區域的腳本限制。

攻擊鏈重現

1. 攻擊者製作惡意 .mht，內含 Content-Location: news://malware/ 並內嵌惡意 JavaScript/VBScript。
2. 透過郵件、即時通訊或網頁下載誘導使用者雙擊開啟。
3. IE 以「本機電腦」安全區域執行腳本，獲得 WScript.Shell、Scripting.FileSystemObject 等 ActiveX 物件存取權。
4. 腳本可讀寫檔案、修改登錄、下載並執行任意程式碼。

概念驗證代碼片段（僅供防禦研究）

Content-Type: multipart/related; boundary="boundary"
--boundary
Content-Location: news://malware/
Content-Type: text/html


--boundary--

官方修補與臨時緩解

• 廠商補丁：微軟於 MS05-005 (KB891711) 修正此問題，請立即透過 Windows Update 安裝。
• 登錄表 Kill Bit 臨時封鎖（若無法立即修補）：
  路徑：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{CLSID}
  新增 DWORD Compatibility Flags = 0x400 禁用易受攻擊的 HTML Help 控制項。
• 防禦建議：
  • 設定「網際網路選項 → 安全性 → 本機電腦區域 → 自訂層級 → 對未標示為安全的 ActiveX 初始化並執行腳本」為「停用」或「提示」。
  • Outlook Express / Windows Mail 設定「以純文字顯示郵件」，阻斷 MHTML 自動解析。
  • 檔案總管取消隱藏已知副檔名，避免 evil.jpg.mht 偽裝圖片。

參考連結：微軟技術安全通報 | 原始 PoC 封存 (僅供研究)