被恶意软件绑架的浏览器

陈煜欣

在MS09-002漏洞发布之前,还有一些值得关注的针对浏览器的安全漏洞。比如2008年底出现的微软0day漏洞,受其影响的浏览器版本更加广泛。

安全爆炸点的轮回

回顾2008年,桌面安全的最主要问题集中于木马下载器等以Web访问为载体的病毒程序。2005年~2008年期间,基于Web的病毒程序每年都保持着至少翻一番的增长水平。而2008年作为病毒大爆发的一年,所出现的超过1000万种新病毒中,超过20%都是下载器程序。其实下载器程序并不是什么新产物,在很早之前就有使用这类机制的恶意程序存在。

作为最基本的互联网应用,网页访问拥有最庞大的用户群体和最高的使用率。但是随着浏览器软件功能不断丰富、家族成员不断增加,网页访问反而成为在安全防护上相对薄弱的一环。

与电子邮件、即时通信等主流互联网应用相比,网页访问保护工具虽然数量不少,但在深度和精度上却难以匹敌其他专项工具。

浏览器上的安全风险

为了提供更丰富的功能,越来越多的Web页面流行使用客户端脚本和组件技术。这一方面为用户带来了更好的互联网访问功能和用户体验,同时也使用户在使用浏览器软件时要面对更多的安全问题。

JavaScript客户端脚本技术已经成为了事实标准,自然也是被恶意软件利用的主要对象。由于JavaScript对操作系统的使用范围和权限受到了较为严格的限制,所以很难利用其直接进行破坏。下载器程序利用了JavaScript客户端脚本,可以从互联网中获取攻击代码。

另一方面,ActiveX作为浏览器软件与其它平台进行交互的重要技术,也有着悠久的安全问题历史。由于具有比JavaScript客户端脚本更强的系统操纵能力,基于ActiveX组件的病毒程序往往更具破坏力,甚至可以直接对操作系统展开攻击。

很多企业级的软件系统将ActiveX组件作为实现客户端功能的核心技术,使安全保护体系的搭建变得更加复杂。除此之外,利用Windows Script Host的VBScript以及目前已经较少使用的Java Applet小程序等,都可以基于浏览器开展破坏活动。

同样值得关注的是,作为桌面计算机上最常用的应用程序,浏览器软件现在与操作系统的结合越来越紧密。

除了与Windows操作系统紧密集成的IE浏览器之外,其它的浏览器同样也利用很多操作系统的底层组件来提升自身的功能价值。

这也是为什么利用浏览器漏洞的攻击可以如此具有破坏力的重要原因,很多漏洞甚至允许攻击代码可以直接破坏或利用操作系统核心。

特别是0day攻击,已经将桌面计算机完全绑架,这也是目前云安全技术被寄予厚望的原因之一。

趋势科技在截获微软浏览器的0day攻击漏洞时只花了几分钟时间,这为用户及时修复漏洞提供了良好的前提。

互联网入口的安全变革

长久以来,对于浏览器这个最重要的互联网访问入口,用户主要依赖安全厂商提供的软件产品来获得安全保护。不过可以看到,浏览器厂商们也在不断补充自身产品的安全特性,给用户带来层次更丰富的保护。

对于各种利用客户端脚本进行的恶意攻击,特别是利用ActiveX直接实现安全攻击的恶意程序,浏览器产品以及操作系统本身的安全机制往往显得更加重要。微软在即将推出的IE8浏览器中,会对传统的ActiveX控件机制作出调整。

在测试版的IE8浏览器中,ActiveX控件的安装并不需要管理员权限,而是使用当前登录用户的权限进行安装。这样可以实现更符合逻辑的权限分割,一旦恶意程序利用ActiveX感染了计算机,也不会轻易地获得管理权限。

而且,如果一个ActiveX插件不在该机制的白名单中,其操作本地系统的功能将受到很大的限制,也可以很好地缓解利用ActiveX机制破坏操作系统的问题。

这一改变的衍生意义在于,用户和厂商都可以更好地对Flex、Silverlight等流行的富客户端访问插件进行控制,从而在一定程度上避免浏览器上不断增加的可执行能力带来的安全风险。

不过,这项改进也存在一些限制,比如目前只有在Windows Vista或更高版本的操作系统中才能使用该机制,而目前占有率还比较高的Windows XP操作系统则无法使用。

以网络钓鱼为代表的各种网络欺诈,也是目前主要的安全威胁之一。浏览器软件正在广泛地集成各种识别欺骗性网址的功能,其中较为典型的当属FireFox。

由于其提供了插件开发机制,用户除了可以使用FireFox自身提供的防网络钓鱼功能,还可以下载很多提供类似功能的插件,从而获得较为适合自己的防欺诈保护。

在IE8浏览器当中,微软还提供了一项独特的改进功能。用户在浏览器的地址栏输入网址之后,IE8会识别网址中的顶级域名部分,并将其用高亮的形式显示。

虽然这项改进看起来非常小,但是在实际使用过程中的效果却十分明显。这能够明显地集中用户的注意力,使其注意判别自己是否正确输入了网址。

同时,在IE8中提供的增强的安全过滤器,也可以完成对网址的分析。最重要的是,通过设置安全策略,可以将这个安全过滤器的防护等级提高,从而更大限度地屏蔽可疑网址。

浏览器的明日危机

富客户端技术的不断发展,使得越来越多的应用使用浏览器作为访问媒介,包括很多企业级应用。据此分析,浏览器软件的安全功能还会不断增加,新增功能和插件可能会爆出的安全漏洞也会随之增加。

由于浏览器的遍布性和应用规范的不统一,希望通过简单的方式获得高安全性是非常困难的。除了各个方面要密切配合之外,在系统层面实现更加强大的安全模型才能够让浏览器获得足够的安全性。

一个好消息是,当前的互联网用户群体已经在使用警惕性上有了很大提升,不过企业还需要在系统平台上更好地固化和管理用户上网行为。