作者vintw (阳光好青年)
看板EZsoft
标题Re: [分享] 一些减少中毒机会的方法
时间Sun Jun 22 00:02:49 2008
※ 引述《HZYSoft (PCMan 知识+)》之铭言：
部分引言恕删
: 基本上，可以从网页上对你的系统进行破坏的东西，有很多：
: 1. IE 才有的 Active X 和 plugins
: 2. IE 才有的 VBScript (这个旧版 IE 只要读到网页就立刻中奖)
: 3. IE 才有的 JScript (不是 Javascript，是微软自己不合标准的修改版)
: 4. Firefox 的 extensions (这个超强大，可以对你系统为所欲为)
: 5. Firefox 的 plugins (同上，这杀伤力跟 ActiveX 完全一样)
: 6. Java
: 7. Adobe Reader plugin 新版漏洞 (遇到内含 script 的 pdf)
: 8. RealNetwork RealPlayer (有人好像遇到过影片内嵌病毒，原理不明)
: 9. Flash 漏洞?
其实我的概念是，javascript很危险，所以我的Firefox一直都有加装NoScript
(这个extension可以让你自己决定某个domain下的javascript是否执行)
就本质上来说，javascript等於是在浏览器上面执行的任意程式码
在还没用Firefox之前，我的IE的安全性就已经把javascript设为询问
但是开一个网页前要点个十几下是 / 否，一般的使用者是绝对受不了的
虽然到目前为止还没有看到(或是我孤陋寡闻囧)因为"纯javascript"导致严重的破坏
大部分恶意的javascript，都是用来加密程式码绕过检查
然後结合其他的漏洞，像是PCMan前辈列出来的这些漏洞，或是像XSS这样的欺瞒手法
但是反过来说，如果在javascript的阶段就不执行了，後面一系列的动作也就不会被触发
这也是我这麽热爱NoScript的原因，被挂马的网页往往也可以很快的发现
(通常看到的情形是，去呼叫奇怪domain的js档，然後解码一串code後丢进eval()去)
以现在网页的趋势来看，要使用者停用javascript大概是不可能的事
所以大概只能靠各家软体厂商对plugin的修补以及作业系统的定时更新？
现在许多的防毒软体已经把恶意的javascript一并纳入病毒的范围，这也是多一道防护
另外，我还蛮好奇的，对使用者来说，XSS有没有一个有效的方法可以防御？
我认为这应该要由browser挡掉可疑的跨站javascript
甚至是把透过表单传递的javascript也通通档下来，但是这样做算不算是矫枉过正？
NoScript是有这个功能，不知道会不会变成未来浏览器内建的功能之一？
我想短期内，我的NoScript会是我必备的extension XD
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 220.136.4.43
1F：推 chris:也推NoScript，虽然每个站设定时会花费一点时间，但一劳永逸 06/22 00:14
2F：→ vintw:另外还有档广告的功能XD 06/22 00:16
3F：推 chris:对！在快眼看书那网站超方便！(在那第一次感受到好用之处) 06/22 00:25
4F：推 HZYSoft:在网页内的 javascript 权限有受限，得靠漏洞来绕过 06/22 01:18
5F：→ HZYSoft:但是装成 firefox extension 的 javascript，就无限制了 06/22 01:19
6F：→ HZYSoft:所以如果有恶意程式伪装成 Fx extension 是可以中奖的 06/22 01:19
7F：→ HZYSoft:只是目前为止还没有发生过，而套件多半从官网安装 06/22 01:19
8F：推 NelsonT:我比较喜欢 YesScript，不过它在 Fx3 有点小问题 06/22 01:19
9F：推 jtmh:我最近才开始接触 NoScript, 一开始用还真的有点不习惯，不过 06/22 07:33
10F：→ jtmh:我渐渐喜欢上它预设挡掉所有 JavaScript code 的方式，因为 06/22 07:36
11F：→ jtmh:可以顺便挡掉一些广告 & 一些撰写不良的 code (e.g. Yahoo!), 06/22 07:38
12F：→ jtmh:Firefox 整体的效能也变好了，另外它还可以挡掉其他 plugins 06/22 07:40
13F：→ jtmh:的物件，因此只有在我手动认可时才会去执行，这样也可大大减 06/22 07:43
14F：→ jtmh:低因其他 plugins 漏洞而造成的伤害。 06/22 07:44
15F：推 GAMETYRANT:请教一下、这套件跟FX内建的关闭javascript的差别是? 06/22 11:57
16F：→ GAMETYRANT:noscript很肥大、正在犹豫要不要装 06/22 11:58
17F：→ vintw:NoScript可以针对不同的domain决定要不要挡，也可以暂时允许 06/22 12:56
18F：→ GAMETYRANT:效果相同就不装了,个人是用按纽快速开关javascript ^^ 06/22 18:35
19F：推 tonyhome:cookie?? 06/22 22:54