缓冲区溢出攻击 HTML5增强网络安全 同时带来新安全漏洞(2)

“这些功能集是很可怕的，”他表示，“如果我能够在你的网络应用程序中找到一个漏洞，并且注入HTML5代码，我就能修改你的网站并且隐藏我不想让你看到的内容。”

对于本地存储，攻击者可以从你的浏览器读取数据，或者在你不知情的情况下插入其他数据。对于地理位置，攻击者可以在你不知情的情况下确定你的位置。对于 新版本的CSS（层叠样式表），攻击者可以控制你能够看见的CSS增强网页的要素。HTML5的WebSocket向浏览器提供了一种网络通信协议栈，这 可以被滥用来秘密的后门通信。

这并不是说浏览器制造商无视于这个问题。即使他们必须为这个新标准增加新支持，他们正在努力寻找方法来防止攻击者的滥用。缓冲区溢出攻击在Usenix安全专题上，Stamm指出火狐团队正在研究的用以缓解这种针对HTML5新技术的攻击的技术。

例如，他们正在研究一种替代插件平台，被称为JetPack，这个平台将可以严格控制插件执行的行动，“如果我们能够完全控制应用程序编程接口，我们就可以说‘这个插件正在访问某某网站，是否允许’，”Stamm表示。

JetPack也可以使用一种声明式安全模式，即插件必须向浏览器声明它将执行的行动，然后浏览器会监测插件来确保它位于这些参数间。

“企业已经开始评估是否应该使用这些新功能来应用于浏览器，”Johnson表示，“这种时候，可能听到平时决不可能听到的话，‘IE6可能比较好’。”

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-86786-2.html