hengde3

趋势科技旗下安全实验室的研究人员在半年前发现Windows 10名片服务中的某个漏洞并将漏洞提交给微软。

不过微软拒绝对这个漏洞进行修复所以研究人员现在公开漏洞细节，主要通过构造恶意名片来诱导用户点击。

名片文件中用户可以记录联系人的姓名职务甚至是网站地址等，但网站地址模块并没有严格对网址进行校验。


研究人员发现某安全漏洞提交给微软但微软拒绝进行修复

研究人员发现可以在网址模块填写本地文件的地址，例如在本地磁盘某个位置存放恶意文件然后再进行调用。

如果用户不慎点击这个网址的话就可以调用并运行本地恶意文件，攻击者可以以这种方式来感染受害者电脑。

微软忽略此漏洞并拒绝修复：

研究人员早在半年前就将漏洞通报给微软不过微软拒绝修复，可能微软认为这个漏洞的利用过程比较麻烦吧。

攻击者如果想要利用此漏洞的话不但需要将名片文件和恶意文件一起打包发给用户还得让用户点击对应网址。

简单来说就是需要用户交互才可以利用此漏洞，攻击者必须诱骗用户点击名片详情里的网址来调用恶意软件。

当然如果能做到让用户点击恶意网址其实也可以通过其他方式例如钓鱼邮件完成，也没必要用名片这么麻烦。

虽然微软并未解释为什么忽略此漏洞，不过大抵可以认为微软觉得这个攻击方式不足以对用户构成实质威胁。

livealong

这只是曝光的一个而已，无数没曝光的漏洞，有安全商发现的、黑客发现的，甚至是微软发现的，最终的解决都是漫长的