芬兰的计算机安全公司“Oy Online Solutions”于当地时间6月4日公布了Internet Explorer(IE)5.5/6中的安全漏洞。当用户点击Web网页或HTML邮件中的链接时，有可能会导致在用户个人电脑上运行任意代码(程序)。预防的对策是改变IE的设置，将Gopher协议设置为无效。日前该漏洞的补丁尚未公布。

　　Gopher是用来检索分布在因特网上文件的服务或者说是协议，以美国明尼苏达洲大学

　　1991年开发的文献检索系统为基础。随着WWW的普及，现在已经不再使用。

　　但是，大多数目前正在使用的Web浏览器中，都备有Gopher的客户端功能。正是在IE具备的Gopher客户端功能中发现了此次的安全漏洞。

　　据Oy Online Solution发布的信息，当从Gopher服务器发送特定的字符串时，可能会造成IE缓冲器溢出。也就是说，当使用IE浏览器点击嵌在Web网页和HTML邮件中的Gopher链接(由“gopher://”开头的URL)时，存在任意代码被运行的危险。

　　如果要恶意使用此次发现的安全漏洞，尽管必须要有Gopher服务器，但并不需要具备“真正”的Gopher服务器。要冒充Gopher服务器，只要一个小小的程序就足够了。Oy Online Solution公司的演示页中所运行的Gopher服务器程序，只由几行Perl脚本编写而成。

　　为避免受到影响，用户需要改变IE的代理服务器设置，将Gopher协议设为无效。也就是说在“Internet选项”菜单中，选择“连接”，点击“局域网设置”。然后，在“代理服务器”的“高级设置”中，在Gopher的“使用代理服务器地址”中填入“localhost”，端口设为“1”。

　　拔号上网的用户，同样可从“Internet选项”的“连接”中，指定“拔号设置”窗口内的图标，点击“设置”键。然后与局域网设置一样改变Gopher栏。

　　在Gopher栏空白的状态下，并非表示已经设置成了无效，因此要加以注意。至于是否已将其设置成了无效，只要访问Oy Online Solution的演示页便可加以确认。如果开始就显示出“A SAMPLE GOPHER DOCUMENT”的英文页面，表示并没有设置成无效。显示出“该页无法显示”则表示已设置成无效。

　　另外，攻击用的Gopher服务器端口号码，攻击者可以任意选择(例如，也可能设成与HTTP相同的TCP80)，因此即使通过防火墙等堵塞Gopher端口(TCP 70)，也无法防止受到攻击。