该漏洞发生在Web迅雷的一个控件上，当安装了Web迅雷的用户在浏览黑客精心构造的包含恶意代码的网页后，会下载任意程序在用户系统上以当前用户的权限运行。

　　受影响的Web迅雷版本为1.8.4.130。

　　该漏洞产生的原因如下：

　　WEB迅雷组件的名称：ThunderServer.webThunder.1，可以采用JS代码ActiveXObject("ThunderServer.webThunder.1");来激活迅雷的组件。由于其函数没有进行过滤，导致可以构造代码来在C:Documents and SettingsAll Users「开始」菜单程序启动处生成一个*****.hta。重启后*****.hta自动运行。*****.hta 通过调用 C:Progra~1Intern~1IEXPLORE.EXE来打开 *****.hta 所包含的木马下载文件*****.htm 从而得到木马下载地址，然后下载木马并运行。

　　

　　构造的漏洞利用网页截图：


　

　　

　　二、解决方案：

　　

　　1、请将Web迅雷升级到最新版。

　　下载地址http://my.xunlei.com/setup.htm

　　2、推荐安装超级巡警防范恶意木马。

　　

　　关于Web迅雷：

　　

　　Web迅雷是迅雷公司最新推出的一款基于多资源超线程技术的下载工具，和迅雷5作为专业下载工具的定位不同， web迅雷在设计上更多的考虑了初级用户的使用需求，使用了全网页化的操作界面，更符合互联网用户的操作习惯，带给用户全新的互联网下载体验！