淙?8/24公布的Hotmail安全漏洞已在8/26修复，但8/27却又出现了新的安全漏洞，
而且迄今仍未修复！其实不仅是Hotmail，yahoo mail等支持
Java脚本程序的电子邮件
服务系统均存在此类缺陷，即不能有效地过滤掉恶意的Java脚本程序。此类安全漏洞与
其他支持HTML的交互式服务（如留言板、IRC等）存在的安全问题的基本原理是一样的：
利用服务器CGI程序的不健全性，修改用户接口或屏蔽输入限制，从而达到欺骗用户或
攻击主机的目的。
希望各位网友通过以下的Hotmail安全漏洞分析，了解此类安全问题的原理，懂得
如何利用（;-)）和避免受到此类攻击。
——————————————————————————————————————
日期：1998年8月24日，星期一
刚刚发现在Microsoft Hotmail中存在着一个严重的安全漏洞，怀有恶意的用户利
用此漏洞可以很容易地骗取Hotmail用户的口令。入侵方法就是发送一封嵌入java脚本
代码的电子邮件。当Hotmail用户浏览此邮件时，javascript代码迫使此用户重新登录
Hotmail，而此时用户输入的帐号和口令就会通过电子邮件发送给入侵者。
一旦恶意用户获得了受骗用户的Hotmail帐号和口令，他便拥有了对此帐号的全部
控制权：
-- 删除、发送和阅读用户邮件
-- 检查受骗用户在Hotmail设置的其他邮件服务器的的邮件
-- 访问受骗用户的地址簿
-- 获取发送到此邮箱的其他口令！
-- 修改此Hotmail帐号口令
一个潜在的黑客只要用标准的电子邮件程序，如Netscape Mail将javascript代码
嵌入电子邮件中，就能达到上述目的。而且通过使用免费电子邮件帐号，使得无法追
查黑客踪迹。
导致Hotmail安全漏洞的原因是：
1、恶意代码可以在电子邮件被浏览时执行
2、此攻击所需的所有资源是很少和免费的
3、恶意电子邮件可以来自任何地方，如图书馆、网吧、学校终端等
4、攻击代码可以在任何支持javascript的浏览器上运行，如IE和Communicator
Microsoft和Hotmail都已意识到此安全问题的存在。公布以下关于Hotmail攻击的
资料是为了加快修复此安全漏洞和提醒用户如何保护自己。
——————————————————————————————————————
日期：1998年8月25日，星期二
Hotmail已公布修复此安全? ，其方法是在CGO程序中使用如s/$#@60;script$#@62;/$#@60;comment$#@62;/
（perl语句，编者按）或相同效果的语句过滤javascript。
——————————————————————————————————————
日期：1998年8月25日，星期二
我研究了Cervenka先生的电子邮件并得到了一些启发。对于javascript无效的浏览器，
可以通过meta refresh标志使浏览器转向攻击代码所在的URL。例如：
$#@60;html$#@62;
$#@60;meta http-equiv="refresh" content="1;
url=the-url-that-is-to-be-pointed-to"$#@62;
.....
