Program Internet Explorer nie obsługuje nazw użytkowników i haseł w adresach witryny sieci Web (adresy URL HTTP lub HTTPS)

Ten artykuł ma na celu powiadamianie administratorów witryn sieci Web i specjalistów IT o zachowaniu programu Internet Explorer, gdy informacje o użytkowniku są zawarte w adresie witryny sieci Web (adres URL HTTP lub HTTPS).

Oryginalna wersja produktu: Internet Explorer
Oryginalny numer KB: 834489

Podsumowanie

Domyślnie wersje programu Internet Explorer, które zostały wydane począwszy od wydania aktualizacji zabezpieczeń 832894 nie obsługują obsługi nazw użytkowników i haseł w protokołach HTTP i HTTP przy użyciu protokołu Secure Sockets Layer (SSL) lub adresów URL HTTPS. Następująca składnia adresu URL nie jest obsługiwana w programie Internet Explorer ani w Eksploratorze Windows:

http(s)://username:password@server/resource.ext

Ten artykuł ma na celu powiadomienie Użytkownika o tym domyślnym zachowaniu programu Internet Explorer. Jeśli uwzględnisz informacje o użytkowniku w adresach URL HTTP lub HTTPS, zalecamy zapoznanie się z obejściami opisanymi w tym artykule.

Informacje podstawowe

Program Internet Explorer w wersji od 3.0 do 6.0 obsługuje następującą składnię adresów URL HTTP lub HTTPS:

http(s)://username:password@server/resource.ext

Ta składnia adresu URL umożliwia automatyczne wysyłanie informacji o użytkowniku do witryny sieci Web, która obsługuje podstawową metodę uwierzytelniania.

Złośliwy użytkownik może użyć tej składni adresu URL do utworzenia hiperłącza, które wydaje się otwierać legalną witrynę sieci Web, ale faktycznie otwiera zwodniczą (sfałszowaną) witrynę sieci Web. Na przykład następujący adres URL wydaje się otwierać http://www.wingtiptoys.com , ale faktycznie otwiera http://example.com:

http://www.wingtiptoys.com@example.com

Ponadto złośliwi użytkownicy mogą używać tej składni adresu URL wraz z innymi metodami, aby utworzyć link do zwodniczej (sfałszowanej) witryny sieci Web, która wyświetla adres URL legalnej witryny sieci Web na pasku stanu, pasku adresu i pasku tytułu wszystkich wersji programu Internet Explorer. Aby uzyskać więcej informacji na temat tego problemu, kliknij numer artykułu 833786 , aby chronić się przed fałszywymi witrynami sieci Web i złośliwymi hiperlinkami.

Wyjaśnienie zmiany domyślnego zachowania

Aby rozwiązać problemy omówione w sekcji Informacje o tle , program Internet Explorer i Eksplorator Windows nie obsługują już obsługi adresów URL HTTP i HTTPS tego formularza. Programy Windows Explorer i Internet Explorer nie otwierają witryn HTTP ani HTTPS przy użyciu adresu URL zawierającego informacje o użytkowniku. Domyślnie, jeśli informacje o użytkowniku są zawarte w adresie HTTP lub adresie URL HTTPS, zostanie wyświetlona strona sieci Web z następującym tytułem:

Nieprawidłowy błąd składni.

Ta zmiana domyślnego zachowania jest również implementowana przez aktualizacje zabezpieczeń, dodatki Service Pack i wersje programu Internet Explorer, które zostały wydane począwszy od wydania aktualizacji zabezpieczeń 832894.

Obejścia dla użytkowników

1. Adresy URL otwierane przez użytkowników, którzy wpisują adres URL na pasku adresu lub klikają link

   Jeśli użytkownicy zazwyczaj wpisują adresy URL HTTP lub HTTPS, które zawierają informacje o użytkowniku na pasku adresu, lub klikają linki, które zawierają informacje o użytkowniku w adresach URL HTTP lub HTTPS, możesz obejść tę nową funkcję w programie Internet Explorer na dwa sposoby:

   • Nie uwzględniaj informacji o użytkowniku w adresach URL HTTP lub HTTPS.
   • Poinstruuj użytkowników, aby nie dołączali informacji o użytkownikach podczas wpisywania adresów URL HTTP lub HTTPS.

   Jeśli witryna sieci Web używa podstawowej metody uwierzytelniania, program Internet Explorer automatycznie monituje użytkowników o podanie nazwy użytkownika i hasła. W niektórych przypadkach użytkownicy mogą kliknąć pole Zapamiętaj moje hasło w oknie dialogowym, aby zapisać swoje poświadczenia na potrzeby późniejszych wizyt w tej witrynie sieci Web.

Obejścia dla deweloperów aplikacji i witryn sieci Web

1. Adresy URL otwierane przez obiekty wywołujące funkcje WinInet lub Urlmon

   W przypadku obiektów korzystających z adresu HTTP lub adresu URL HTTPS zawierającego informacje o użytkowniku podczas wywoływania funkcji WinInet lub Urlmon, takiej jak InternetOpenURL, ponownie zapisz obiekt, aby użyć jednej z następujących metod wysyłania informacji o użytkowniku do witryny sieci Web:

   • Użyj funkcji InternetSetOption i dołącz następujące flagi opcji:
     • INTERNET_OPTION_USERNAME
     • INTERNET_OPTION_PASSWORD

   Uwaga

   W przypadku tych flag opcja InternetSetOption musi mieć dojście zwrócone przez funkcję InternetConnect. Dlatego jeśli aplikacja używa funkcji InternetOpenUrl, zmodyfikuj aplikację tak, aby używała funkcji WinInet InternetConnect, HttpOpenRequest i HttpSendRequest.

   Aby uzyskać więcej informacji na temat korzystania z tych funkcji, odwiedź następujące witryny sieci Web firmy Microsoft:

   • InternetConnectA, funkcja
   • HttpOpenRequestA, funkcja
   • HttpSendRequestA, funkcja

   Aby uzyskać więcej informacji na temat korzystania z interfejsu IAuthenticate , odwiedź następującą witrynę internetową firmy Microsoft:

   • Interfejs uwierzytelniania IAuthenticate

   Uwaga

   Dzięki temu obejście można otworzyć witryny sieci Web, które przekierowuje technika fałszowania adresów URL. Zostanie wyświetlony cały adres URL, w tym przekierowana lokalizacja.

   Na przykład zostanie wyświetlony następujący adres URL:

   http://www.wingtiptoys.com@www.example.com

   Użytkownik nadal dociera do przekierowanych witryn sieci Web. W tym przykładzie użytkownik dociera do http://www.example.com.

2. Adresy URL otwierane przez skrypt, który używa poświadczeń do zarządzania stanem

   Jeśli uwzględnisz adresy URL HTTP lub HTTPS zawierające informacje o użytkowniku w kodzie skryptowym, aby zarządzać informacjami o stanie, zmień kod skryptowy, aby używał plików cookie zamiast informacji o użytkowniku. Aby uzyskać więcej informacji na temat sposobu używania plików cookie do zarządzania informacjami o stanie, zobacz Mechanizm zarządzania stanem HTTP.

   Aby zapoznać się z przykładem używania języka Visual Basic do odczytywania i zapisywania plików cookie HTTP w programie sieci Web ASP.NET, zobacz Klasa HttpCookie.

Jak wyłączyć nowe zachowanie lub użyć go w innych programach

Wartości rejestru można ustawić tak, aby używały tego nowego zachowania w innych programach, które hostują kontrolkę przeglądarki sieci Web, lub aby wyłączyć to nowe zachowanie w programach Windows Explorer i Internet Explorer.

1. Jak programy hostujące kontrolkę przeglądarki sieci Web mogą używać tego nowego domyślnego zachowania do obsługi informacji o użytkowniku w adresie HTTP lub w adresach URL HTTPS

   Domyślnie to nowe domyślne zachowanie w przypadku obsługi informacji o użytkowniku w adresach URL HTTP lub HTTPS ma zastosowanie tylko do Eksploratora Windows i programu Internet Explorer. Aby użyć tego nowego zachowania w innych programach, które hostują kontrolkę przeglądarki sieci Web, utwórz wartość DWORD o nazwie SampleApp.exe, gdzie SampleApp.exe jest nazwą pliku wykonywalnego, który uruchamia program. Ustaw wartość wartości DWORD na wartość 1 w jednym z następujących kluczy rejestru.

   • Dla wszystkich użytkowników programu ustaw wartość w następującym kluczu rejestru:

     HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE

   • Dla bieżącego użytkownika programu ustaw wartość w następującym kluczu rejestru:

     HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE

2. Jak wyłączyć nowe zachowanie domyślne do obsługi informacji o użytkowniku w adresach URL HTTP lub HTTPS

   Aby wyłączyć nowe zachowanie domyślne w programach Windows Explorer i Internet Explorer, utwórz iexplore.exe i explorer.exe wartości DWORD w jednym z następujących kluczy rejestru i ustaw ich dane wartości na 0.

   • Dla wszystkich użytkowników programu ustaw wartość w następującym kluczu rejestru:

     HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE

   • Dla bieżącego użytkownika programu ustaw wartość w następującym kluczu rejestru:

     HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE

Informacje

Aby uzyskać wyjaśnienie standardowej składni adresów URL dla adresów URL HTTP lub HTTPS, odwiedź następujące witryny internetowe internetowej grupy zadań inżynierów (IETF):

• RFC 1738: Uniform Resource Locators (URL)
• RFC 2396: Uniform Resource Identifiers (URI): Generic Syntax
• RFC 2616: Protokół transferu hipertekstu — HTTP/1.1

Firma Microsoft udostępnia informacje dotyczące sposobów kontaktowania się z innymi firmami, aby ułatwić uzyskanie niezbędnej pomocy technicznej. Informacje te mogą zostać zmienione bez powiadomienia. Firma Microsoft nie gwarantuje dokładności informacji dotyczących innych firm.