《黑客攻防技术宝典》试读:1.1 首要问题

天生低调的浏览器却肩负着保护用户安全的重任。浏览器的工作机制,就是向整个互联网请求指令,请求到以后几乎不加任何质疑地去执行。浏览器之所以为浏览器,就是要忠实地汇聚远程获取的内容,把它们组织成人类可以辨识的形式,同时还要支持今天所谓的Web 2.0应有的丰富功能。 但是作为一款软件,浏览器又是如此重要:它不仅要帮你维护社交网络,还要替你完成在线银行的交易。这个软件有义务保证你在网络世界中的安全,无论你冒险闯入的是什么胡同街巷。这个软件有义务支持你在一个标签页里不知深浅的探险,同时又在另一个标签页里进行重大涉密交易。很多人把自己的浏览器当成装甲车,认为自己能坐在里面安全舒适地观察外面的世界,而不用担心泄漏任何个人隐私,或者遭受任何威胁。等把这本书全看完,你就会明白这个假设是否成立了。 这款“无所不能”的神奇软件的开发团队,必须确保其庞大身躯的每个角落、每道接缝,都不给黑客留下可乘之机。不管你是否这么想过,实际上你每次使用浏览器,都默认信任了从未谋面(很可能这辈子永远也不会见面)的一群人,相信这群人能够保障你的重要信息不会被互联网上的黑客窃取。 本章介绍Web浏览器攻防相关的方法论。我们会讨论浏览器在Web生态系统中扮演的角色,包括它与Web服务器之间的互动关系。此外,本章还会介绍一些浏览器安全基础知识,为本书后续各章的内容提供脉络。 1.1 首要问题 请大家暂时忘掉浏览器,只想着眼前有一块空白的安全画布。假设你身处这么一种境况:你要对一家公司的安全负责,必须作出某些决策。你在决定部署某个软件时,会不会考虑它可能面临的风险有多大?这个软件必须在标准运行环境(Standard Operating Environment,SOE)中无差异地安装到公司内的几乎所有机器上。人们要通过它来存取最敏感的数据,执行最敏感的操作。这个软件几乎是公司每个员工的日常工具,包括CEO、董事会成员、系统管理员、财务、人力资源,甚至你们的客户。鉴于它对公司的核心业务数据拥有如此高的权限,毫无疑问会成为黑客的理想攻击目标,因而面临极大风险。 这个软件的设计规格大致是这样的。  它要向互联网请求指令,然后执行获取的指令。  防御者无法控制这些指令。  某些指令会要求这个软件从以下来源再次请求其他指令:  互联网的其他地方;  内部网的其他地方;  非标准的HTTP和HTTPS TCP端口。  某些指令会要求这个软件通过TCP发送数据。这可能会造成对其他联网设备的攻击。  它会与互联网中任意服务器进行加密通信。防御者无法看到通信内容。  它会不断向攻击者暴露攻击目标。它会在后台静默更新。  它经常会依赖插件获得某些功能。没有统一的机制更新这些插件。 此外,对这个软件的相关研究表明:  插件一般来说都不如核心软件本身安全;  这个软件的每个变体都有文档载明的漏洞;  一份安全情报报告(Security Intelligence Report)1得出结论,说这个软件是企业最大的威胁2。 显然,根据以上描述,你一定知道我们说的就是浏览器。不过,再次请你忘掉这些,以及相关的历史事件,回到我们那张空白的安全画布面前。想一想,就这种软件的部署量居然如此之高,真的都禁不住要怀疑人类的智商了。不论通过它获取数据有多方便,仅从其设计规格来看,它所面临的安全风险就是极其巨大的。 不过,回到现实当中,以上所有说法都是纯理论的探讨。实际上,我们已经走上了一条不归路。如今互联网上网站多如繁星,谁敢因为浏览器有重大安全隐患,就勒令所有员工卸载它?或许你知道,浏览器的装机量要以十亿计。不让员工装浏览器,无疑会降低其工作效率。更不用说这个措施多难让人接受,会被认为是开历史倒车了! 浏览器达到了前所未有的使用量,取决于个人的使用情况,也暴露出了各种各样的问题和安全挑战。对很多不搞技术的人来说,无处不在的浏览器就意味着“互联网”。浏览器只能展示IP协议(Internet Protocol)所能理解的数据。在互联网时代,浏览器在人们日常生活中的地位是不可动摇的,IT行业的发展也与它密不可分。 放眼四望,浏览器在网络中几乎无孔不入。用户网中有它,客户服务网中有它,甚至安全禁区(DMZ)中都有它的身影。不要忘了,很多情况下用户管理员必须使用浏览器来管理自己负责的网络设备。网络设备厂商都在顺应Web大潮,努力利用浏览器无所不在的现实,而不会考虑重新发明轮子。 人们对通过浏览器上网的依赖是毫无疑问的。实际上,与其问自己在哪里能看到浏览器,倒不如问自己在哪里看不到它。

>黑客攻防技术宝典

黑客攻防技术宝典
作者: [澳] Wade Alcorn, [美] Christian Frichot, [意] Michele Orrù
副标题: 浏览器实战篇
原作名: The Browser Hacker's Handbook
isbn: 7115433941
书名: 黑客攻防技术宝典
页数: 496
译者: 奇舞团
定价: 109.00元
出版社: 人民邮电出版社
装帧: 平装
出版年: 2016-10