保存该gadget.html文件，然后用WinRar打开movie.gadget用修改后的gadget.html更换其中的同名文件，最后双击安装该侧边栏。不出所料，可以在Vsita的侧边栏中“苹果时钟”并没有显示而是打开了我们的框架网页。(图3)

　　

　　图3 侧边栏被攻击

　　另外，笔者下载了其他侧边栏工具进行测试，无一例外地都可以通过其中的html文件进行挂马。我们可以猜想，一个攻击者完全可以修改Gadget包中的html代码，嵌入挂马代码然后重新打包提供给Vista用户下载使用。当用户安装该侧边栏工具后就会下载并执行远程木马，从而系统被攻击者掌控。

　　为了演示效果，我们上面的测试只是简单地利用iframe进行挂马。其实，在实战中攻击者完全可以精心构造html代码，让用户在不知不觉中中招。那如何预防这样的入侵呢?

　　1、安全第一，不使用侧边栏工具。

　　2、从正规的网站(比如微软网站)下载侧边栏工具。

　　3、用WinRar打开Gadget文件，查看其中的html文件以确定是否有挂马代码。

 

共2页。 9 1 2

查看原文：http://winsystem.ctocio.com.cn/vista/89/8223589_1.shtml

不懂就不要装，侧边栏运行在低强制完整性级别上，根本没机会下载可执行文件到本地。以后请不要再毁人不倦了。

作者的发现是很有趣的。楼上言辞太尖酸，别拿微软的教条指责别人。请问楼上的，你测试验证了吗？

微软当然说自己的技术无懈可击，那每月一次的漏洞报告不是自打嘴巴吗？我们来专家网是学习、讨论技术的，如果进行人身攻击就显得太小器了。

“低强制完整性级别”多么专业的名词！“根本没有机会”，你说了算吗？一篇技术文章竟然引来与技术无关的攻击！！！！肯定作者的技术探讨，1楼太不地道了。

“每月一次”，楼上的留言很有深意，让我想起了女人的月经。确实，女人的月经可能超前，可能延迟，也有可能不来。微软的漏洞，倒比女人的月经还及时！！！哈哈哈！！

哈，热闹！越来越与技术无关了。不过很反感有些人拿自己臆造的生僻名词来吓唬人。“低强制完整性级别”这么绕口的词都能记住！对微软有点微词，就跳出来，好像微软就是他妈。

支持作者。鄙视l楼，你懂？你也写写！！非常期待

测试通过，当然关键是设计代码了。没有不可能的事，我看1楼有点故作高深，不懂装懂了。你没有那个本事，不见得别人不能。

用winrar打开vista的侧边栏包，里面有css文件，在其中添加代码通过它挂马轻松突破所谓的“低强制完整性级别”。

通过里面的图片也可以实现，图片伪装。

通过里面的图片，进行图片伪装也可以实现。

特反感1楼那家伙的口气。什么玩意，微软怎么了，微软放个屁就是圣旨呀。什么狗屁 低强制完整性级别，我们就是要玩微软的漏洞。