科技时代新浪首页 > 科技时代 > 业界 > 正文

JavaScript代码可导致浏览器攻击 处初始阶段


http://www.sina.com.cn 2006年07月31日 16:43 ZDNet China

  CNET科技资讯网7月31日国际报道 安全研究人员已经发现一种利用JavaScript扫描家庭和企业网络,并攻击网络上服务器,以及路由器和打印机等设备的方法。

  研究人员表示,恶意JavaScript代码能够被嵌入在一个Web 网页上,使用浏览器浏览该网页时,恶意代码就会在没有任何警告的情况下运行。他们说,由于通过浏览器运行,这种恶意代码能够绕过防火墙等安全设施。

  Web 安全专业厂商SPI Dynamics的首席工程师霍夫曼说,我们已经发现一种技术,能够扫描一个网络、监视所有具有Web 功能的设备、向这些设备发送恶意攻击代码或命令的方法。它能够对处于防火墙保护下的网络进行扫描。

  成功的攻击会造成重大影响。例如,它能够扫描家庭网络、探查路由器模式,然后发送命令开启无线网络,并关闭所有加密措施。它还会监视一个企业网络,针对网络上的服务器发动攻击。WhiteHat Security 的技术总监格罗斯曼表示,用户的浏览器可以用来攻击内部网络。

  JavaScript问世已经有10年了,主要被用于Web 网站上,受AJAX等编程技术的影响,最近它越来越火了。AJAX在安全方面也有缺陷。

  Nmap 网络端口扫描工具的开发者费奥多说,尽管很长时间以来黑客利用恶意JavaScript代码的可能性就一直存在,安全研究人员并没有对它给予足够的重视,而是将目光集中在了浏览器缺陷上。

  费奥多表示,SPI Dynamics所发现缺陷的一个优势是,要修正它非常困难,因此可能在未来多年内得不到解决。

  当运行时,该恶意代码会首先确定一台PC的内部网络地址。然后它会利用标准的JavaScript对象和命令,开始在局域网上搜索服务器,被搜索的服务器可能是托管有网页的计算机,也可能包括路由器、

打印机、IP电话,以及其它配置有网卡的网络设备。

  恶意JavaScript代码能够被托管在黑客的网站上,通过利用一个所谓的跨站点脚本缺陷,它也能够隐身于用户信赖的网站。谷歌、微软、雅虎等巨头已经修正了这一缺陷。

  在保护自己避免受到这种攻击方面,PC用户几乎无能为力。专家指出,保护服务器和用户的安全主要靠网站开发人员。网站管理人员应当修正网站中的跨脚本缺陷,并对用户提交的JavaScript代码进行验证。

  格罗斯曼表示,利用恶意JavaScript代码的攻击还不普遍。他说,JavaScript恶意代码还处于发展的早期,人们对它还缺乏足够的了解。我们未来会看到越来越多的类似攻击。

发表评论

爱问(iAsk.com)



评论】【论坛】【收藏此页】【 】【多种方式看新闻】【下载点点通】【打印】【关闭




科技时代意见反馈留言板 电话:010-82628888-5595   欢迎批评指正

新浪简介 | About Sina | 广告服务 | 联系我们 | 招聘信息 | 网站律师 | SINA English | 会员注册 | 产品答疑

Copyright © 1996 - 2006 SINA Inc. All Rights Reserved

新浪公司 版权所有