被惡意軟件綁架的瀏覽器

陳煜欣

在MS09-002漏洞發(fā)布之前,還有一些值得關注的針對瀏覽器的安全漏洞。比如2008年底出現的微軟0day漏洞,受其影響的瀏覽器版本更加廣泛。

安全爆炸點的輪回

回顧2008年,桌面安全的最主要問題集中于木馬下載器等以Web訪問為載體的病毒程序。2005年~2008年期間,基于Web的病毒程序每年都保持著至少翻一番的增長水平。而2008年作為病毒大爆發(fā)的一年,所出現的超過1000萬種新病毒中,超過20%都是下載器程序。其實下載器程序并不是什么新產物,在很早之前就有使用這類機制的惡意程序存在。

作為最基本的互聯網應用,網頁訪問擁有最龐大的用戶群體和最高的使用率。但是隨著瀏覽器軟件功能不斷豐富、家族成員不斷增加,網頁訪問反而成為在安全防護上相對薄弱的一環(huán)。

與電子郵件、即時通信等主流互聯網應用相比,網頁訪問保護工具雖然數量不少,但在深度和精度上卻難以匹敵其他專項工具。

瀏覽器上的安全風險

為了提供更豐富的功能,越來越多的Web頁面流行使用客戶端腳本和組件技術。這一方面為用戶帶來了更好的互聯網訪問功能和用戶體驗,同時也使用戶在使用瀏覽器軟件時要面對更多的安全問題。

JavaScript客戶端腳本技術已經成為了事實標準,自然也是被惡意軟件利用的主要對象。由于JavaScript對操作系統(tǒng)的使用范圍和權限受到了較為嚴格的限制,所以很難利用其直接進行破壞。下載器程序利用了JavaScript客戶端腳本,可以從互聯網中獲取攻擊代碼。

另一方面,ActiveX作為瀏覽器軟件與其它平臺進行交互的重要技術,也有著悠久的安全問題歷史。由于具有比JavaScript客戶端腳本更強的系統(tǒng)操縱能力,基于ActiveX組件的病毒程序往往更具破壞力,甚至可以直接對操作系統(tǒng)展開攻擊。

很多企業(yè)級的軟件系統(tǒng)將ActiveX組件作為實現客戶端功能的核心技術,使安全保護體系的搭建變得更加復雜。除此之外,利用Windows Script Host的VBScript以及目前已經較少使用的Java Applet小程序等,都可以基于瀏覽器開展破壞活動。

同樣值得關注的是,作為桌面計算機上最常用的應用程序,瀏覽器軟件現在與操作系統(tǒng)的結合越來越緊密。

除了與Windows操作系統(tǒng)緊密集成的IE瀏覽器之外,其它的瀏覽器同樣也利用很多操作系統(tǒng)的底層組件來提升自身的功能價值。

這也是為什么利用瀏覽器漏洞的攻擊可以如此具有破壞力的重要原因,很多漏洞甚至允許攻擊代碼可以直接破壞或利用操作系統(tǒng)核心。

特別是0day攻擊,已經將桌面計算機完全綁架,這也是目前云安全技術被寄予厚望的原因之一。

趨勢科技在截獲微軟瀏覽器的0day攻擊漏洞時只花了幾分鐘時間,這為用戶及時修復漏洞提供了良好的前提。

互聯網入口的安全變革

長久以來,對于瀏覽器這個最重要的互聯網訪問入口,用戶主要依賴安全廠商提供的軟件產品來獲得安全保護。不過可以看到,瀏覽器廠商們也在不斷補充自身產品的安全特性,給用戶帶來層次更豐富的保護。

對于各種利用客戶端腳本進行的惡意攻擊,特別是利用ActiveX直接實現安全攻擊的惡意程序,瀏覽器產品以及操作系統(tǒng)本身的安全機制往往顯得更加重要。微軟在即將推出的IE8瀏覽器中,會對傳統(tǒng)的ActiveX控件機制作出調整。

在測試版的IE8瀏覽器中,ActiveX控件的安裝并不需要管理員權限,而是使用當前登錄用戶的權限進行安裝。這樣可以實現更符合邏輯的權限分割,一旦惡意程序利用ActiveX感染了計算機,也不會輕易地獲得管理權限。

而且,如果一個ActiveX插件不在該機制的白名單中,其操作本地系統(tǒng)的功能將受到很大的限制,也可以很好地緩解利用ActiveX機制破壞操作系統(tǒng)的問題。

這一改變的衍生意義在于,用戶和廠商都可以更好地對Flex、Silverlight等流行的富客戶端訪問插件進行控制,從而在一定程度上避免瀏覽器上不斷增加的可執(zhí)行能力帶來的安全風險。

不過,這項改進也存在一些限制,比如目前只有在Windows Vista或更高版本的操作系統(tǒng)中才能使用該機制,而目前占有率還比較高的Windows XP操作系統(tǒng)則無法使用。

以網絡釣魚為代表的各種網絡欺詐,也是目前主要的安全威脅之一。瀏覽器軟件正在廣泛地集成各種識別欺騙性網址的功能,其中較為典型的當屬FireFox。

由于其提供了插件開發(fā)機制,用戶除了可以使用FireFox自身提供的防網絡釣魚功能,還可以下載很多提供類似功能的插件,從而獲得較為適合自己的防欺詐保護。

在IE8瀏覽器當中,微軟還提供了一項獨特的改進功能。用戶在瀏覽器的地址欄輸入網址之后,IE8會識別網址中的頂級域名部分,并將其用高亮的形式顯示。

雖然這項改進看起來非常小,但是在實際使用過程中的效果卻十分明顯。這能夠明顯地集中用戶的注意力,使其注意判別自己是否正確輸入了網址。

同時,在IE8中提供的增強的安全過濾器,也可以完成對網址的分析。最重要的是,通過設置安全策略,可以將這個安全過濾器的防護等級提高,從而更大限度地屏蔽可疑網址。

瀏覽器的明日危機

富客戶端技術的不斷發(fā)展,使得越來越多的應用使用瀏覽器作為訪問媒介,包括很多企業(yè)級應用。據此分析,瀏覽器軟件的安全功能還會不斷增加,新增功能和插件可能會爆出的安全漏洞也會隨之增加。

由于瀏覽器的遍布性和應用規(guī)范的不統(tǒng)一,希望通過簡單的方式獲得高安全性是非常困難的。除了各個方面要密切配合之外,在系統(tǒng)層面實現更加強大的安全模型才能夠讓瀏覽器獲得足夠的安全性。

一個好消息是,當前的互聯網用戶群體已經在使用警惕性上有了很大提升,不過企業(yè)還需要在系統(tǒng)平臺上更好地固化和管理用戶上網行為。