Windows XP SP2 IE 本機區域拖放繞過補丁缺陷：DYNSRC 限制被智取

漏洞背景與發現者

安全研究員 Http-equiv (Malware.com) 發現：Windows XP SP2 完整修補環境下，結合 HTML Help ActiveX 控制項 與 拖放操作，可繞過 MS04-038 (KB834707) 引入的 DYNSRC 限制，在本機區域植入並執行任意程式碼。

技術根因：兩階段繞過鏈

1. 階段一：HTML Help 控制項突破本機區域邊界
   使用 <object type="application/x-oleobject" classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11"> (HH_CTRL) 載入惡意 .chm/.htm，繞過「本機電腦區域」的 ActiveX 初始化限制。
2. 階段二：拖放操作植入可執行內容
   誘導使用者將圖片/音樂檔案從網頁拖放至本機資料夾或桌面。SP2 新增的 DYNSRC 檢查僅阻擋特定副檔名，攻擊者透過 Content-Disposition、MIME 偽裝或 shell:execute 協定處理器，使拖放後的檔案在使用者雙擊時自動執行。

為何 MS04-038 修補失效？

PivX 資深研究員 Larholm 指出：MS04-038 僅針對 DYNSRC 屬性的檔案類型白名單限制，**並未封鎖拖放操作本身**，且 DYNSRC 規範的媒體目標位址可透過 JavaScript 動態改寫（「智取」），繼續載入惡意負載。

概念驗證關鍵代碼（防禦研究用）

<object id="hh" classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11"></object>
<script>
  hh.HHWindow.Navigate("javascript:document.write('<img dynsrc=script.vbs onload=malicious()>')");
</script>

臨時緩解方案：Kill Bit 封鎖 Shell.Explorer

1. 開啟 regedit，定位：
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} (Shell.Explorer CLSID)
2. 新增 DWORD Compatibility Flags = 0x400 (1024)。
3. 重啟 IE 即生效。

PivX 提供 .reg 一鍵匯入檔：PivX 修補頁面

官方修補狀態與防禦建議

• 微軟正調查中，建議關注 Microsoft Security TechCenter 獲取最新補丁。
• 使用者教育：勿隨意拖放不明來源圖片/音樂至本機；啟用「網際網路選項 → 安全性 → 本機電腦 → 自訂層級 → 拖放或複製貼上檔案」設為「提示」或「停用」。
• 深度防禦：部署 EMET / AppLocker 限制非受信路徑執行；啟用 DEP 保護所有程式。