Prijava

Select the product you need help with

Varnostna posodobitev za Internet Explorer, ki spremeni obravnavo uporabni�kih podatkov v URL-jih strani HTTP in HTTPS

ID �lanka: 834489 - Oglejte si izdelke, na katere se nana�a ta �lanek.

Na voljo je varnostna posodobitev, ki iz Internet Explorerja odstrani podporo za uporabni�ka imena in gesla v URL-jih strani HTTP in strani HTTP s �ifriranjem SSL (Secure Sockets Layer) oziroma strani HTTPS. Naslednja sintaksa za URL v Internet Explorerju in raziskovalcu programa Windows ni ve� na voljo, ko namestite zbirno varnostno posodobitev za Internet Explorer MS04-004 (832894):

http(s)://uporabni�koime:geslo@stre�nik/sredstvo.pripona

To spremembo privzetega delovanja vsebujejo vse varnostne posodobitve in servisni paketi, izdani za posodobitvijo 832894. V �lanku je opisano privzeto delovanje Internet Explorerja po namestitvi varnostne posodobitve. �e v URL-je strani HTTP ali HTTPS vklju�ujete uporabni�ke informacije, Microsoft priporo�a, da preu�ite re�itve, opisane v tem �lanku, preden namestite varnostno posodobitev 832894. �e bi radi izvedeli ve� o varnostni posodobitvi 832894, obi��ite Microsoftovo spletno mesto:

http://www.microsoft.com/technet/security/bulletin/MS04-004.mspx

(http://www.microsoft.com/technet/security/bulletin/MS04-004.mspx)

Informacije o razli�icah Internet Explorerja in operacijskega sistema Microsoft Windows, ki jih varnostna posodobitev podpira, najdete v razdelkih �Informacije o varnostni posodobitvi� in �Pogosta vpra�anja� v varnostnem biltenu MS04-004.

Nazaj na vrh | Po�lji povratne informacije

DODATNE INFORMACIJE

Ozadje

Internet Explorer 3.0 in novej�i podpirajo to sintakso za URL strani HTTP ali HTTPS:

http(s)://uporabni�koime:geslo@stre�nik/sredstvo.pripona

To sintakso URL-ja lahko uporabite za samodejno po�iljanje uporabni�kih podatkov spletnemu mestu, ki podpira osnovne na�ine preverjanja pristnosti.

Zlonamerni uporabnik pa bi lahko s to sintakso URL-ja ustvaril povezavo, ki le navidez odpira pravo spletno mesto, dejansko pa odpre la�no spletno mesto. Na prvi pogled se zdi, da ta URL odpre spletno mesto http://www.wingtiptoys.com, v resnici pa odpre mesto http://primer.com:

http://www.wingtiptoys.com@primer.com

Opomba V tem primeru se v polju z naslovom Internet Explorerja 6 s servisnim paketom SP1 in Internet Explorerja 6 za Microsoft Windows Server 2003 prika�e le �http://example.com�. Starej�e razli�ice Internet Explorerja pa v naslovni vrstici prika�ejo vse: �http://www.wingtiptoys.com@example.com�.

Povrhu tega lahko zlonamerni uporabniki to sintakso URL-ja uporabijo v povezavi z drugimi metodami in ustvarijo la�no spletno mesto, ki v vrstici stanja, naslovni vrstici in polju z naslovom v vseh razli�icah Internet Explorerja prika�e URL pravega spletnega mesta.

�e �elite ve� informacij o tej te�avi, kliknite to �tevilko �lanka iz Microsoftove zbirke znanja:

833786

(http://support.microsoft.com/kb/833786/ )

Koraki za odkrivanje in za��ito pred la�nimi spletnimi mesti in zlonamernimi povezavami (Ta povezava lahko vodi k besedilu, ki je delno ali v celoti v angle��ini)

Razlaga spremembe privzetega delovanja

Da bi se izognili te�avam, opisanim v razdelku �Ozadje� tega �lanka, varnostna posodobitev 832894 odstrani podporo za tak�no uporabo URL-jev strani HTTP in HTTPS v Internet Explorerju in raziskovalcu programa Windows. Potem ko namestite varnostno posodobitev 832894, raziskovalec in Internet Explorer ne odpreta mest HTTP ali HTTPS z uporabo URL-ja, ki vsebuje uporabni�ke informacije. �e so podatki o uporabniku privzeto vklju�eni v URL za HTTP ali HTTPS, se prika�e spletna stran s sporo�ilom:

Napaka neveljavne sintakse

Opomba Ta sprememba v privzetem delovanju ne vpliva na druge protokole. Uporabni�ke podatke lahko na primer �e vedno vklju�ite v URL protokola FTP, �eprav ste namestili varnostno posodobitev 832894.

To spremembo privzetega delovanja vsebujejo vse varnostne posodobitve in servisni paketi, izdani za posodobitvijo 832894.

Nazaj na vrh | Po�lji povratne informacije

Re�itve za uporabnike

URL-ji, ki jih uporabniki odprejo tako, da jih vnesejo v polje z naslovom ali kliknejo povezavo

�e uporabniki v polje z naslovom ponavadi vna�ajo URL-je strani HTTP ali HTTPS, ki vsebujejo uporabni�ke podatke, oziroma kliknejo povezave z uporabni�kimi podatki v URL-jih strani HTTP ali HTTPS, lahko to novo funkcijo v Internet Explorerju obidete na dva na�ina:

V URL-je strani HTTP in HTTPS ne vklju�ujte uporabni�kih podatkov.
Uporabnike pou�ite, naj ne vklju�ujejo svojih podatkov, ko vna�ajo URL-je strani HTTP ali HTTPS.

�e spletno mesto uporablja osnovne na�ine preverjanja pristnosti, Internet Explorer uporabnike samodejno pozove, naj vnesejo uporabni�ko ime in geslo. V nekaterih primerih lahko kliknejo mo�nost Shrani geslo in tako shranijo poverilnice za naslednje obiske tega spletnega mesta.

Re�itve za razvijalce aplikacij in spletnih mest

URL-ji, ki jih odprejo predmeti, ki kli�ejo funkcijo WinInet ali Urlmon

Predmete, ki uporabljajo URL-je strani HTTP ali HTTPS z uporabni�kimi podatki, ko kli�ejo funkcijo WinInet ali Urlmon, na primer InternetOpenURL, znova napi�ite tako, da bodo uporabljali enega od teh na�inov po�iljanja uporabni�kih informacij spletnemu mestu:

Uporabite funkcijo InternetSetOption in vklju�ite naslednje zastavice z mo�nostmi:
- INTERNET_OPTION_USERNAME
- INTERNET_OPTION_PASSWORD
Opomba �e �elite uporabiti te zastavite, mora imeti mo�nost InternetSetOption handle returned by the InternetConnect function. �e torej aplikacija uporablja funkcijo InternetOpenUrl, jo spremenite, da bo uporabljala funkcije WinInet InternetConnect, HttpOpenRequest in HttpSendRequest. Ve� o uporabi teh funkcij najdete na Microsoftovih spletnih mestih:
http://msdn2.microsoft.com/en-us/library/aa384247.aspx
(http://msdn2.microsoft.com/en-us/library/aa384247.aspx)

http://msdn2.microsoft.com/en-us/library/aa384233.aspx
(http://msdn2.microsoft.com/en-us/library/aa384233.aspx)

http://msdn2.microsoft.com/en-us/library/aa384247.aspx
(http://msdn2.microsoft.com/en-us/library/aa384247.aspx)
Uporabite vmesnik IAuthenticate Interface. Ve� o uporabi vmesnika IAuthenticate Interface najdete na Microsoftovem spletnem mestu:
http://msdn.microsoft.com/workshop/networking/moniker/reference/ifaces/iauthenticate/iauthenticate.asp
(http://msdn.microsoft.com/workshop/networking/moniker/reference/ifaces/iauthenticate/iauthenticate.asp)

Opomba S to re�itvijo lahko odpirate spletna mesta, na katere preusmerja goljufivi URL. Prikazan je celoten URL, vklju�no z mestom preusmeritve. �e je denimo prikazan naslednji URL:

http://www.wingtiptoys.com@www.primer.com

, uporabnik vseeno odpre spletno mesto, kamor je bil preusmerjen. V tem primeru torej odpre mesto http://www.primer.com.

URL-ji, ki jih odprejo skripti, ki uporabljajo poverilnice za upravljanje stanja

V skriptno kodo za upravljanje informacij o stanju namesto URL-jev za HTTP ali HTTPS, ki vsebujejo uporabni�ke podatke, raje vstavite pi�kotke. Ve� o upravljanju informacij o stanju s pi�kotki najdete na spletnem mestu skupine IETF (Internet Engineering Task Force):

http://www.ietf.org/rfc/rfc2965.txt

(http://www.ietf.org/rfc/rfc2965.txt)

�e bi radi izvedeli, kako s programom Visual Basic berete in pi�ete pi�kotke za HTTP v spletnem programu ASP.NET, obi��ite Microsoftovo spletno mesto:

http://msdn.microsoft.com/library/en-us/dv_vstechart/html/vbtchaspnetcookies101.asp

(http://msdn.microsoft.com/library/en-us/dv_vstechart/html/vbtchaspnetcookies101.asp)

Onemogo�anje novega delovanja in njegova uporaba v drugih programih

Potem ko namestite varnostno posodobitev 832894, lahko dolo�ite registrske vrednosti in to novo delovanje uporabite v drugih programih, ki gostijo nadzor spletnega brskalnika, ali pa ga onemogo�ite v raziskovalcu programa Windows in Internet Explorerju.

Nazaj na vrh | Po�lji povratne informacije

Kako programi, ki gostijo nadzor nad spletnim brskalnikom, izkoristijo to novo delovanje za upravljanje uporabni�kih informacij v URL-jih za HTTP in HTTPS

Privzeto je, da novi na�in obravnavanja uporabni�kih informacij v URL-jih za HTTP in HTTPS velja samo za raziskovalca programa Windows in Internet Explorer. �e ga �elite uporabiti v programih, ki gostijo nadzor nad brskalnikom, ustvarite vrednost DWORD program.exe, kjer je program.exe ime izvedljive datoteke programa. Podatke vrednosti DWORD nastavite na 1 v enem od na�tetih registrskih klju�ev:

Za vse uporabnike programa vrednost nastavite v tem registrskem klju�u:
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE
Samo za trenutnega uporabnika programa vrednost nastavite v tem registrskem klju�u:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE

Onemogo�anje novega obravnavanja uporabni�kih podatkov v URL-jih za HTTP in HTTPS

�e �elite novo privzeto delovanje v raziskovalcu programa Windows in Internet Explorerju onemogo�iti, ustvarite vrednost DWORD iexplore.exe ali explorer.exe v enem od naslednjih registrskih klju�ev ter jo nastavite na 0.

Za vse uporabnike programa vrednost nastavite v tem registrskem klju�u:
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE
Samo za trenutnega uporabnika programa vrednost nastavite v tem registrskem klju�u:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE

Nazaj na vrh | Po�lji povratne informacije

SKLICI

Razlago obi�ajne sintakse URL-ja za HTTP ali HTTPS najdete na tem spletnem mestu skupine IETF (Internet Engineering Task Force):

RFC 1738: Uniform Resource Locators (URL)
http://www.ietf.org/rfc/rfc1738.txt

(http://www.ietf.org/rfc/rfc1738.txt)

RFC 2396: Uniform Resource Identifiers (URI): Generic Syntax
http://www.ietf.org/rfc/rfc2396.txt

(http://www.ietf.org/rfc/rfc2396.txt)

RFC 2616: Hypertext Transfer Protocol -- HTTP/1.1
http://www.ietf.org/rfc/rfc2616.txt

(http://www.ietf.org/rfc/rfc2616.txt)

Microsoft podatke za stik z drugimi proizvajalci ponuja zato, da boste la�je pri�li do tehni�ne podpore. Te informacije se lahko spremenijo brez poprej�njega obvestila. Microsoft ne more jam�iti za pravilnost teh podatkov o drugih proizvajalcih.

Nazaj na vrh | Po�lji povratne informacije