檢查你的 Microsoft VM 的版本編號

[lamina]

之前我一直以為裝了 SP1 之後(不是 SP1a)
更新程式應該會順便把 Microsoft VM 更新為 3809
但是今天突然心血來潮，忍不住在「命令提示字元」之下
輸入「jview」....這才發現我的觀念不太對...
原來我的 Microsoft VM 還是 3805 舊版本
雖然這已經是舊聞了，但是還是請確認一下自己 Microsoft VM 的版本編號吧

相關安全問題：
繁體：http://www.microsoft.com/taiwan/secu...s/MS02-069.asp
英文：http://www.microsoft.com/technet/tre...n/ms02-069.asp
英文：http://support.microsoft.com/?id=810030

繁體 Microsoft VM 3809 下載：(使用 Win 2000 者勿下)
http://ftp.boe.tcc.edu.tw/msdownload...9/msjavx86.exe

JAVA Test 網站：
http://www.clan.lib.ri.us/clan/javatest.html
http://www.pocoso.de/pocoso052.html

[unioly]

感謝
原來sp1不會把VM更新啊

[f3619]

請問你們說的是2000嗎
我也執行了jview
顯示3809
不過我很好奇...這是幹什麼用的呢^^"

[lamina]

Microsoft VM 是一個使用在 Win32 作業環境上的 Java 虛擬機器 (virtual machine)，它存在於大部份的 Windows 作業系統及許多不同版本的 Internet Explorer 之上，可用來解譯由 java 寫成的程序....

相關資料請參考下面網站：
http://java.sun.com/getjava/zh_tw/faq.html

另外 SUM Java 虛擬機器(JVM)的下載：(這看你喜歡用哪一間的 MS 或 SUN 的)
http://java.sun.com/getjava/zh_tw/install-windows.html

[yuanyu]

新舊版的java用起來沒差吧?
還是有何差異呢?
不過我的java是3809版的!!!
sp1不是從windows update下載的
是向微軟買的

[lamina]

　　3809 和 3805 我想應該只是修正了一些漏洞而已...

原文如下：

　　此版本不僅包含過去之前全部的修正程式，同時也新增了針對新發現的八個安全弱點所做的修正。新發現的攻擊方法造成的安全弱點非常相似。攻擊者可能製作一個網頁，當打開時即發動攻擊；此網頁可能放置在網站上或是以 HTML 電子郵件方式散佈。

新發現的安全弱點如下：

　　一個安全弱點發現於一個不受信任且能夠存取 COM 物件的 Java applet。原設計上，COM 物件僅能供受信任的 Java 程式使用。COM 物件提供攻擊者得以控制系統的功能。

　　有兩個安全弱點雖然造成的基本原因不同但是影響相似，皆為偽裝 applet 程式碼基底 (codebase) 的真實路徑。原設計上，一個置於使用者硬碟或是網路共用上的 Java applet 皆對其所在路徑及其下層路徑有「讀」的權限。本弱點提供方法使得在網站上的 applet 可以傳達錯誤的程式碼基底 (codebase) 路徑而將其指向使用者的本機系統或是網路共用。

　　一個安全弱點使得攻擊者可以建構一個網址來載入一個 Java applet 而讓它看起來是屬於另一個網站。結果造成攻擊者的 applet 可在其他網域執行而任何使用者上傳的資訊可回傳至攻擊者。

　　一個安全弱點起因於 Microsoft VM 不禁止 applet 呼叫 JDBC API (一群存取資料庫的 API 集合)。原設計上，這些 API 僅會依據使用者的權限提供 add, change, delete 或 modify 資料庫內容的功能。

　　一個安全弱點發生於攻擊者能夠暫時地禁止載入並執行特定的 Java 物件。一個傳統的安全機制 (稱為 Standard Security Manager) 對 Java applet 提供了限制功能，包括禁止數個 applet 一起執行。然而，VM 對 SSM 並沒有適當的存取控制，導致攻擊者的 applet 可以將其他的 Java 物件加入禁止名單 (banned list) 上。

　　一個安全弱點發生於攻擊者能夠知道使用者在本機的使用者名稱。此弱點起因於一個特殊的系統屬性，稱為 user.dir，不應該為不受信任的 applet 使用；但基於程式上的錯誤，現為可以。雖然知道使用者名稱本身不造成安全性的風險，但它可能會幫助達成窺視目的。

　　一個安全弱點起因於一個 Java applet 可能造成另一個 Java applet 具現化不完整 (incomplete instantiation)。此弱點可能造成 Internet Explorer 程式失敗。