1.浏览器漏洞

没有哪个供应商能对层出不穷的web浏览器漏洞始终保持免疫力。最近的一个例子就是IE6,7和8感染的CSSbug(CVE-2010-3962)。该bug通过两步锁定目标电脑:第一,用户在携带恶意代码的网页上点击e-mail链接。恶意代码在用户毫无察觉的情况下开始运行,然后自动在电脑中安装***。用户不需要点击鼠标,只需要访问网页就会被感染。公司要想不被感染,唯一可做的就是禁止使用那些没有及时打上补丁的浏览器。

2.AdobePDF阅读器,Flash和Java中的漏洞

使用较为普遍的工具和程序,如Adobe PDF阅读器,Flash和Java,是容易受到***的高危软件。尽管这些软件经常出现安全漏洞,但是大多数供应商都能很快提供补丁。

不过,企业仍然要确保这些补丁被及时安装到所有电脑上才行。IT部门或许没有意识到补丁的重要性,或许无法安装补丁亦或是抱怨补丁安装不成功。无论是以上哪种情况,如果员工访问了自动发布的带有Flash视频的页面,恶意代码就可以在后台自动运行。

由于用户全然不知,所以***可以神不知鬼不觉地潜入电脑中,从而使该电脑成为僵尸网络的一份子。虽然针对Windows的开发并不多,例如,有大量可用的Adobe,Java和Flash。尤其是Flash和Java已经在近几个月的时间里,成为名副其实的恶意代码传播者。它们为***提供了很好的后台切入点,***可以绕过所有病毒扫描器在电脑上安营扎寨。

私人用户最好不使用这些程序,而公司应该采用标准的流程或策略来规范其使用。为了防御借Flash发起的***,公司可以使用Flash拦截器(浏览器插件),从而避免视频自动播放。

3.Web2.0应用中的漏洞

最新的Web安全漏洞出现了一些新的***方法,如跨站点脚本***或SQL注入。导致这些漏洞的原因通常是Ajax的部署不够精准或部署不当。Ajax是一个在服务器和浏览器之间进行数据异步传输的方法。这类漏洞已经被利用,例如,通过***创建的MySpace蠕虫。

该漏洞大约一年前就发布了,***可以利用漏洞很快地获取MySpace用户的资料。另外,最近一次在Twitter上的“onmouseover”***也属于这一类。这次***比较复杂,因为***发起者在网页中嵌入了可以自行传播,转发的恶意代码,代码只有140个字符,用户甚至不需要点击任何图标,只是在Twitter页面移动鼠标就会遭受***。

很少有使用该应用的用户能够免受其***,除非在安全威胁发布的时候就立刻停止使用该服务。因此,生产商有责任来确保自己的产品是否安全,运行是否良好——或者采取预警措施,通过Web应用防火墙来保护用户数据。

4.非智能手机和智能手机中的安全漏洞

亚洲地区有无数手机用户,而智能手机用户的数量也在不断增加。单就新加坡而言,每两个居民就拥有三台手机。这一事实说明新的安全威胁会在这一领域不断出现。例如,新一代蠕虫就瞄准了智能手机。最近,有发现表明ZeuS僵尸就是专门用来***手机的。在被感染浏览器中使用被感染的HTML表单,手机号码就会被其获取,然后它会将携带恶意代码SymbOS/Zitmo.A!tr的信息发送给这个号码。恶意***旨在拦截并转移银行交易,所以它会将自己隐藏在后台。

许多苹果用户希望突破SIM卡对指定网络运营商的限制或者使用苹果软件平台没有的应用程序执行一个名为“越狱”的进程,从而不受固于原机的使用限制和访问权限。这一进程会让用户有能力访问设备操作系统的命令行。

越狱的内在风险在于它会使许多设备易受***;例如,大多数用户在执行完越狱后不会更改SSH密码——由于苹果默认的密码是“alpine”,很多人都知道这一点,所以这就是潜在的危险。如果不更改密码,那么未授权的第三方也可以轻易访问设备。

5.操作系统中的零日漏洞

零日***是指那些利用未知漏洞或暂无补丁的漏洞发起的***。换言之,系统生产商是在***发生时或之后才意识到这一漏洞的存在。如此一来,***便可以很好地利用漏洞发起***。由于***可以通过远程访问染指系统,所以这类针对操作系统的***特别危险。这种***不需要类似浏览器或Java之类的工具,只要目标电脑在线就可以了。目前还没有什么办法可以有效防御零日***,因为厂商只能被动发布补丁和应急措施只。而且,并非只有使用微软系统的电脑才存在这一问题,使用苹果系统的电脑也逐渐成为零日***的目标。

互联网安全漏洞的内容还不止上述五种,希望大家多多学习这方面的知识,已应对各种威胁的***,避免造成损失。