您能想像IE的網址列上寫著
www.paypal.com
實際上連線到的卻是一個詐騙網站嗎？
以下這個IE漏洞便會造成這個問題：
http://www.hkcert.org/salert/chinese...14_win_ie.html
內容
這漏洞引致 Internet Explorer 內的網址列不能如實地顯示網頁的原來網址。
Internet Explorer 是一個被廣泛應用的網頁瀏覽器。正常地，瀏覽中網頁的網址會顯示在瀏覽器上網址列上，但對於某些不能被列印的字元， Internet Explorer 不能適當地顯示網址。 IE 可能會連結至一個與網址列上顯示的文字的不同網址。
HTTP 的 URL 格式如下所示
<userinfo>@<host>:<port> (即 <使用者資訊>@<主機>:<連接埠>)
因為 Internet Explorer 程式碼顯示網址列內容時，不能適當地處理NULL 及其他不可列印的字元，當IE 在@標誌之前遇到一個空或相似的不可被列印字元，瀏覽器袛會顯示 <userinfo>數據，但郤由部份 <host>:<port>網址指定正確位址的取存。
這漏洞並不需要啟動任何動態腳本程式來協助攻擊。這個漏洞的攻擊方法和証實概念可行的資料和示範例子已被公開。
影響
這漏洞會影響視窗平台下已安裝所有修補程式的Internet Explorer 版本 5.5 及 版本 6 及 Macintosh 平台下的 Internet Explorer版本 5.0。 那些使用了 Internet Explorer 組件的程式（例如 Outlook Express）來編譯網頁內容亦會受這個漏洞影響。
這漏洞能夠偽裝成虛假的網上銀行、電子付款及線上軟件更新進行欺騙。因此，面對使用安全鎖的網址是否如預期顯示的網址時，便需要加倍提高警覺性。為了確認網址的真偽，用戶必需仔細檢查核證証書的詳細資料及確保這些資料與顯示的網址是吻合的。
受影響之系統
微軟 Internet Explorer
微軟 Outlook Express
微軟 Outlook
解決方案
現時，微軟尚未發佈這個漏洞的相關修補程式。
臨時/紓緩的方案
(1) 不要直接使用在電郵內或未經確認的網站上的超連結，改為手動將網址輸入在瀏覽器上執行
此外，以下資料亦有助你識別並避免受到欺詐網站和惡意超連結的傷害，詳細可參閱
http://support.microsoft.com/?id=833786
(2) 在需要輸入使用者名稱及密碼的網頁上，請必須確認網頁有使用 SSL 的安全保護，在瀏覽使用了安全保護的網頁時，瀏覽器的右下會顯示一個鎖的圖形 ，只要將滑鼠雙按這個鎖的圖形就會出現憑證．請確認憑證上的網址須和你登入的網址配合。詳細可參閱
http://www.microsoft.com/security/incident/spoof.asp
(3) 你亦可以考慮使用其他的瀏覽器/電郵客戶端程式 (例如：Netscape 4.79, Netscape 7.1, Mozilla Firebird 0.7, Mozilla 1.5, Opera 7.23)
相關連結
http://www.auscert.org.au/render.html?it=3680
http://support.microsoft.com/?id=833786
http://www.auscert.org.au/2909
資料來源
AusCERT
Microsoft