不可承受的零时差攻击

核心提示： 与针对IE浏览器发起的具有高危险性的零时差攻击不同，专门针对Word与其它Office软件的攻击不能通过下载来发起攻击，不可承受的零时差攻击(4)，而主要依靠诱使受攻击者双击打开电子邮件附件——这通常用于有目的地攻击某家特定的公司，即使是再小心的用户也有可能不经意就

与针对IE浏览器发起的具有高危险性的零时差攻击不同，专门针对Word与其它Office软件的攻击不能通过下载来发起攻击。而主要依靠诱使受攻击者双击打开电子邮件附件——这通常用于有目的地攻击某家特定的公司，即使是再小心的用户也有可能不经意就双击打开了附件。

向目标企业的雇员发送假的(或者“欺骗性的”)邮件，把邮件伪装得看上去像是来自某个同事或者是该企业内的其它来源，黑客就有很大机会成功诱使收件人打开附件里的Word文档。而如果邮件看上去像是来自于某个不知详情的发件人，机会则小得多。

12月中旬，在公布Excel和PowerPoint等Office软件含有可能被黑客利用发起攻击的漏洞后，微软再次确认Word里有两个漏洞也可能被黑客利用，并发起“危害非常有限并且目的明确的攻击”。它向用户发出警告不仅仅要警惕陌生发件人邮件里附件，同时也要对来自熟悉发件人的、未经请求主动提供的附件保持足够的警觉。

微软的产品或许是最普遍的零时差攻击目标了，不过其它的常用软件也同样面临着受到攻击的危险。一月份研究人员公布了QuickTime播放程序里的一个漏洞， QuickTime在处理流媒体视频文件时可能让攻击者入侵并控制受害者的电脑。2006年11月份Adobe ActiveX浏览器控件的一个漏洞也会导致受害者电脑被黑客控制。

零时差攻击事件的涌现折射出每年公布的软件漏洞数目在不断地上升。据互联网安全机构Xforce所述，2006年软件开发者与研究人员发现了7247个软件漏洞，比起2005年多了整整39%。

但是，这些bug中的大多数不会被黑客利用并发起零时差攻击。软件公司经常收到用户反映的bug和程序崩溃的报告，并从中找到安全漏洞，然后在黑客利用这些漏洞发起攻击前就进行修复。如果其它安全专家发现了一个漏洞，他们(总之，大多数会是这样)会按照一套行业惯例——被称作“有道德地透露”——来处理，这套惯例是特别设计用来规避零时差攻击的。