Windows Update需改进 30秒开发出攻击程式码
据最近发表的一篇论文称，在对微软的修补程式进行研究后，研究人员利用商业工具，在短短30秒时间内开发出了利用软体缺陷的攻击程式码。
这一研究表明，从理论上来说，骇客在获得修补程式后可以很快地开发出恶意程式码，使更多的电脑面临被感染恶意程式码的可能性。
骇客的行动很快，微软每个月的第二个星期二发布修补程式，利用公开缺陷的恶意程式码通常在第二天就会出现。骇客透过逆向工程技术寻找软体中的漏洞。
更快地开发恶意程式码使骇客有更多的时间发现攻击目标，而此时微软正在透过Windows Update发布修补程式。论文指出，即使在修补程式发布24小时后，也只有80%的Windows电脑存取了微软的伺服器。微软是故意这样做的，其它软体厂商也是「逐渐」发布修补程式的，以减少伺服器的负荷。
研究人员称，这种情况必须改变。他们在论文中写道，我们认为，目前的修补程式发布机制是不安全的。应该修正，以更好地防止以自动修补程式发布的恶意程式码。
研究人员使用了一款名为eEye Binary Diffing Suite的程式码分析工具。
有数种方法可以防止骇客兴风作浪。厂商在开发修补程式时可以有意隐藏要修正的缺陷，使骇客更难找到软体中的缺陷。
在一次研究中，研究人员用不到二分钟时间就找出了Windows 无法使用之字串中的缺陷，并迅速设计出了一种拒绝服务攻击程式码。
微软可以首先发布修补程式，当所有电脑接收到修补程式后，再发布一个密码。这一密码可以解锁修补程式，但能够阻止骇客对修补程式进行逆向工程；另一种选择是利用P2P网路，以更快地发布修补程式。
来源 cnBeta
原文
http://news.yahoo.com/s/pcworld...cworld/145050 http://www.cnbeta.com/...54422.htm
