【文章內(nèi)容簡(jiǎn)介】 ject SCRIPT (39。start /m deltree c:/ /Y39。)。 alert(39。IMPORTANT:Windows is removing unused temporary files。 39。)。 / ″+″SCRIPT″。 ()。} /script ? 下面做一個(gè)試驗(yàn)，把這段代碼放入一個(gè) HTML文件中在 IE中打開(kāi)，沒(méi)有任何動(dòng)靜，這就是它的高明所在。這時(shí)，它已經(jīng)悄悄的藏在 Windows的啟動(dòng)設(shè)置中了，即是在 Windows的啟動(dòng)設(shè)置“ C:\Windows\Start Menu\Programs\啟動(dòng)”中做了手腳。當(dāng)用戶(hù)重新啟動(dòng)計(jì)算機(jī)時(shí)，它會(huì)彈出一個(gè)警 告窗口：“ IMPORTANT： Windows is removing unused temporary fi1es?！?(Windows正在移走沒(méi)有的臨時(shí)文件 )這是一個(gè)騙局，它真正做的是“刪除 C:\” (這是中文版 Windows的代碼，如果是英文版， classid后面的參數(shù)就要作調(diào)整 )，如果用戶(hù)將代碼中 deltree c:/ /Y改成 format c:/autotest，就變成了格式化 C盤(pán) (非常危險(xiǎn)，不要試圖這樣做 )。 ? 漏洞影響的系統(tǒng)包括： Microsoft Windows 9x、Microsoft Windows NT/2023等系統(tǒng)。 3. 開(kāi)發(fā)、發(fā)行 Active X 控件的安全與管理 ? Active X安全設(shè)置用于確保 Active X 控件安全地與用戶(hù)的計(jì)算機(jī)和計(jì)算機(jī)數(shù)據(jù)進(jìn)行交互。當(dāng)為 Inter 部件下載發(fā)布 Active X控件時(shí)，必須為控件設(shè)置安全級(jí)別。否則，如果簽名的控件發(fā)行后損壞了用戶(hù)的計(jì)算機(jī)或破壞了用戶(hù)的數(shù)據(jù)，開(kāi)發(fā)者將對(duì)此負(fù)法律責(zé)任。 ? 這些問(wèn)題可以通過(guò)驗(yàn)證代碼的安全性并作出相應(yīng)的標(biāo)記來(lái)解決。 Inter 部件下載有兩級(jí)安全：設(shè)置初始化安全性和設(shè)置腳本安全性 (注意：安全設(shè)置只適用于用 Inter Explorer 進(jìn)行下載的部件 )。 (1) 設(shè)置初始化安全性 ? 當(dāng)將控件標(biāo)記為設(shè)置初始化安全性后，就確保了無(wú)論在初始化時(shí)使用什么數(shù)據(jù)和腳本，都不會(huì)執(zhí)行有損于最終用戶(hù)計(jì)算機(jī)的操作。一個(gè)設(shè)置了初始化安全性的控件不會(huì)寫(xiě)入或修改任何 Windows注冊(cè)條 目、 .ini文件或作為初始化參數(shù)結(jié)果的數(shù)據(jù)文件。設(shè)置初始化安全性對(duì)控件的方法、運(yùn)行時(shí)的屬性或提供給腳本書(shū)寫(xiě)器的信息的安全性沒(méi)有要求。 ? 在默認(rèn)情況下， Inter Explorer 將顯示一條警告信息，并且不下載沒(méi)有標(biāo)記為設(shè)置腳本安全性和設(shè)置初始化安全性的控件。在使用 Visual Basic打包和展開(kāi)向?qū)?Inter 發(fā)行的軟件打包時(shí)，可以將軟件指定為設(shè)置初始化安全性和設(shè)置腳本安全性。 (2) 設(shè)置腳本安全性 ? 當(dāng)將控件標(biāo)記為設(shè)置腳本安全性時(shí)，就確保了沒(méi)有任何腳本可以使控件對(duì)用戶(hù)的計(jì)算機(jī)或數(shù)據(jù)造成破壞。標(biāo)記為設(shè)置腳本安全性的控件將不能從用戶(hù)的計(jì)算機(jī)中獲取未授權(quán)的信息，也不能對(duì)系統(tǒng)造成破壞。 ? 在將控件標(biāo)記為設(shè)置腳本安全性之前，必須驗(yàn)證該控件不執(zhí)行任何非法行為或不允許可能造成破壞的打開(kāi)文件的行為。一般來(lái)說(shuō)，能夠自動(dòng)獲得用戶(hù)計(jì)算機(jī)中有關(guān)用戶(hù)的任何信息并將其展示給腳本書(shū)寫(xiě)器的控件是沒(méi)有設(shè)置腳本安全性的。這種看似無(wú)害的行為在某些國(guó)家和地區(qū)會(huì)被視為犯罪 ? 特別地，控件的腳本不應(yīng)執(zhí)行以下操作： ? 插入或檢索自定義、腳本的注冊(cè)表和 .ini文件信息。換句話(huà)說(shuō)就是用戶(hù)不能通過(guò)腳本來(lái)指定插入哪個(gè)注冊(cè)表或 .ini 文件信息。 ? 插入或檢索不屬于控件的注冊(cè)表和 .ini 文件信息。 ? 注意： 控件在發(fā)行時(shí) ,可以插入和檢索預(yù)先定義只屬于控件的、用于幫助控件管理其內(nèi)部功能的注冊(cè)表和 .ini 文件信息。 ? 用腳本指定的名稱(chēng)從硬盤(pán)驅(qū)動(dòng)器上讀取文件。 ? 安全與不安全操作之間的區(qū)別是非常細(xì)微的。例如，總是將信息寫(xiě)入自己的注冊(cè)表?xiàng)l目的 Active X 控件可能是安全的，而允許用戶(hù)命名條目的控件是不安全的。創(chuàng)建臨時(shí)文件時(shí)不使用任何初始化或腳本值的控件可能是安全的，但允許初始化時(shí)或通過(guò)腳本對(duì)臨時(shí)文件命名的控件是不安全的。 ? 在將控件標(biāo)記為設(shè)置腳本安全性之前，建議最好創(chuàng)建文檔來(lái)記錄其理由，對(duì)此應(yīng)給予同簽訂法律合同一樣的關(guān)注?？梢詫⒃撐臋n包含在控件的 .inf文件中。文檔可能包括以下內(nèi)容： ① 熟悉源代碼和 VBScript 的專(zhuān)家、外部開(kāi)發(fā)者對(duì)控件的評(píng)論 。 ② 一張列出控件所有顯露的方法、事件和屬性的列表 。 ③ 一張列出所有打開(kāi)的文件、使用的 API 調(diào)用、檢索或?qū)懭氲男畔⒌牧斜怼? ? 如果在以上兩種列表的元素之間有任何依賴(lài)關(guān)系或數(shù)據(jù)傳送，則控件可能沒(méi)有設(shè)置腳本安全性。 (3) 安全標(biāo)志的局限性 ? 一個(gè)標(biāo)記為設(shè)置初始化安全性和設(shè)置腳本安全性的控件在使用時(shí)并不一定總是安全的。以上兩節(jié)列出了控件作為初始化或腳本的結(jié)果不能執(zhí)行的操作，但控件在其他時(shí)間仍可能執(zhí)行這些不安全操作。 ? 例如，假設(shè)創(chuàng)建了一個(gè) Active X 控件，該控件在使用了 10次以后就對(duì)硬盤(pán)進(jìn)行重新格式化。該操作并 不作為初始化或腳本結(jié)果發(fā)生，因此可以將該控件標(biāo)記為安全。當(dāng)然，寫(xiě)這樣一個(gè)控件的人應(yīng)受到與寫(xiě)病毒的人同樣的懲罰。 ? 開(kāi)發(fā)者，而不是最終用戶(hù)或 HTML 作者，應(yīng)當(dāng)負(fù)有提供足夠安全保證的責(zé)任。如果作為開(kāi)發(fā)者沒(méi)有提供足夠的安全保證，那么他就應(yīng)承擔(dān)法律責(zé)任。 ? 軟件安全的最終審核一般是由對(duì)該安全問(wèn)題非常熟悉且經(jīng)驗(yàn)豐富的開(kāi)發(fā)人員對(duì)軟件獨(dú)立評(píng)審后完成的。開(kāi)發(fā)者可能希望將有關(guān)評(píng)審的信息包含在下載文件包的 .inf文件中。 (4) 實(shí)現(xiàn)數(shù)字簽名 ? Inter Explorer 的默認(rèn)安全設(shè)置要求任何可下載的軟件在下載之前必須擁有一個(gè)數(shù)字簽名。數(shù)字簽名能用于對(duì)以下內(nèi)容進(jìn)行核實(shí)。 ① 核實(shí)文件的內(nèi)容 ? 文件有可靠的來(lái)源，簽名提供了一種驗(yàn)證文件內(nèi)容的方法，該方法確保該文件在可用于下載后未被改變過(guò)。數(shù)字簽名通過(guò)標(biāo)識(shí)創(chuàng)建軟件的合法實(shí)體來(lái)驗(yàn)證來(lái)源。當(dāng)在可下載的軟件中加入了簽名，發(fā)行者就是合法實(shí)體。合法實(shí)體應(yīng)該為簽名軟件被下載時(shí)或運(yùn)行后所造成的損失負(fù)責(zé)。 ② 應(yīng)被簽名的軟件 ? 在 Windows系統(tǒng)上，有 5種類(lèi)型的文件可以使用數(shù)字簽名： .exe 文件、 .cab 文件、 .dll 文件、 .ocx 文件和 .vbd 文件。如果提供這些類(lèi)型的文件下載，就應(yīng)為其設(shè)置數(shù)字簽名。 ? 注意 : 通常只要在部件打包后的 .cab 文件中進(jìn)行簽名就足夠了。然而，如果要發(fā)行的 .ocx、 .exe、 .vbd 或 .dll文件沒(méi)有打包 ,在 .cab 文件中就要單獨(dú)為其進(jìn)行簽名。 ? 可以通過(guò)向認(rèn)證機(jī)構(gòu)購(gòu)買(mǎi)證書(shū)來(lái)獲得數(shù)字簽名。認(rèn)證機(jī)構(gòu)是一個(gè)確認(rèn)身份并發(fā)行認(rèn)證證書(shū)的公司。證書(shū)中包含發(fā)行者的數(shù)字簽名是發(fā)行者信用的驗(yàn)證。一旦出現(xiàn)問(wèn)題，認(rèn)證機(jī)構(gòu)將成為發(fā)行者身份的見(jiàn)證人。 ? 在使用數(shù)字簽名時(shí)要使用 Authenticode 技術(shù)。Authenticode 的目的是通過(guò)建立責(zé)任制來(lái)阻止有害代碼的發(fā)行。 Authenticode 將驗(yàn)證發(fā)布代碼的發(fā)行人的身份給要下載這份代碼的 Inter 最終用戶(hù)。此外，Authenticode 可以為用戶(hù)確保該代碼在簽名后未被改動(dòng)。 ? Authenticode 技術(shù)來(lái)源于公開(kāi)密鑰簽名技術(shù)，該技術(shù) 使用了密鑰對(duì)來(lái)加密數(shù)據(jù)。密鑰對(duì)也用于文件的加密和解密。在公開(kāi)密鑰技術(shù)中，公用密鑰和私用密鑰確保了文件的私有性。公用密鑰用于加密數(shù)據(jù)，而私用密鑰則用來(lái)解密數(shù)據(jù)。盡管該技術(shù)用于保護(hù)諸如電子郵件之類(lèi)的小文件是很成功的，但是對(duì)于大文件，這一過(guò)程卻是非常消耗時(shí)間的。 Authenticode 正是這種技術(shù)的一種改進(jìn)形式，專(zhuān)供大文件使用。 ? 以下是 Authenticode 過(guò)程中的一些步驟： ? 在開(kāi)發(fā)者對(duì)文件簽名時(shí)，要計(jì)算一個(gè)哈希數(shù)。哈希數(shù)表示文件的總字節(jié)長(zhǎng)度。一般可以選用不同的消息摘要技術(shù)， MD SHA 1。該數(shù)字用私用密鑰加密并插入到文件中。然后，開(kāi)發(fā)者將文件進(jìn)行打包并將其部署到 Web 服務(wù)器上。 ? 當(dāng)用戶(hù)下載或安裝文件時(shí)，他們的計(jì)算機(jī)計(jì)算第二個(gè) 哈希數(shù)，并同原先的進(jìn)行比較。如果數(shù)字相同， 則文件的內(nèi)容就得到了驗(yàn)證。 ? 瀏覽器使用公用密鑰來(lái)決定軟件開(kāi)發(fā)者的身份和提供數(shù)字簽名的認(rèn)證機(jī)構(gòu)。 ? 認(rèn)證機(jī)構(gòu)核實(shí)開(kāi)發(fā)者的身份，并將包含經(jīng)私用密鑰加密的開(kāi)發(fā)者名字的證書(shū)授予開(kāi)發(fā)者。 ? 瀏覽器使用公用密鑰將文件解密。然后進(jìn)行安裝。 4. IE瀏覽器的 Active X的配置 ? 在 IE中，也可以對(duì) Active X的使用進(jìn)行限制。具體步驟如下所示： (1) 打開(kāi) IE瀏覽器。 (2) 選擇“工具”萊單中的“ Inter選項(xiàng)”命令；在打開(kāi)的對(duì)話(huà)框中，選擇“安全”選項(xiàng)卡。 (3) 單擊選項(xiàng)卡上方白色編輯框中的 Inter圖標(biāo) (地球標(biāo)志 )，如圖 ，代表要設(shè)置整個(gè) IE的安全設(shè)置。 (4) 單擊選項(xiàng)卡下方的“自定義級(jí)別”按鈕，出現(xiàn)安全設(shè)置對(duì)話(huà)框。 (5) 移動(dòng)對(duì)話(huà)框中的垂直滾動(dòng)滑塊，立到出現(xiàn)“ Active X控件和插件”設(shè)置選項(xiàng)，如圖 。 ? 圖 Active X的 5個(gè)設(shè)置，具體內(nèi)容如下所示： 圖 ① “對(duì)標(biāo)記為可安全執(zhí)行腳本的 Active X控件執(zhí)行腳本” ? 這個(gè)設(shè)置是為標(biāo)記為安全執(zhí)行腳本的 Active X控件執(zhí)行腳本設(shè)置執(zhí)行的策略。所謂“對(duì)標(biāo)記為可安全執(zhí)行腳本的 Active X控件執(zhí)行腳本”，就是指具備有效的軟件發(fā)行商證書(shū)的軟件。該證書(shū)可說(shuō)明是誰(shuí)發(fā)行了該控件而且它沒(méi)有被篡改。知道了是誰(shuí)發(fā)行的控件，用戶(hù)就可以決定是否信任該發(fā)行商?？丶拇a可能會(huì)意外或故意損壞你的文件。如果控件未簽名，那么用戶(hù)將無(wú)法知道是誰(shuí)創(chuàng)建了它以及能否信任它。指定希望以何種方式處理具有潛在危險(xiǎn)的操作、文件、程序或下載內(nèi)容。請(qǐng)選擇下面的某項(xiàng)操作。 ? 如果希望在繼續(xù)之前給出請(qǐng)求批準(zhǔn)的提示，請(qǐng)單擊“提示”。 ? 如果希望不經(jīng)提示并自動(dòng)拒絕的操作或下載，請(qǐng)單擊“禁用”。 ? 如果希望不經(jīng)提示自動(dòng)繼續(xù)，請(qǐng)單擊“啟用”。 ② “對(duì)沒(méi)有標(biāo)記為安全的 Active X控件進(jìn)行初始化和腳本化” ? 這個(gè)設(shè)置是為沒(méi)有標(biāo)記為安全執(zhí)行腳本的 Active X控件執(zhí)行腳本設(shè)置執(zhí)行的策略。 IE默認(rèn)設(shè)置它為“禁用”，用戶(hù)最好不要改變它。 ③ “下載未簽名的 Active X控件” ? 這個(gè)設(shè)置是為未簽名的 Active X控件的下載提供策略。未簽名的意思和沒(méi)有標(biāo)記為安全執(zhí)行腳本的解釋是一樣的。 IE默認(rèn)設(shè)置它為“禁用”，用戶(hù)最好不要改變它。 ④ “下載已簽名的 Active X控件” ? 該設(shè)置是為已簽名的 Active X控件的下載提供策略。默認(rèn)設(shè)計(jì)為“提示”，最好不要自行改變。 ⑤ “運(yùn)行 Active X控件和插件” ? 這個(gè)設(shè)置是為了運(yùn)行 Active X控件和插件的安全。這是最重要的設(shè)置，但許多站點(diǎn)上都使用 Active X作為腳本語(yǔ)言，所以建議將它設(shè)置為“提示”。這樣當(dāng)有 Active X運(yùn)行時(shí)， IE就會(huì)提醒用戶(hù)，用戶(hù)可以根據(jù)當(dāng)時(shí)所處的網(wǎng)站，決定是否使用它提供的Active X控件。例如，像訪(fǎng)問(wèn)新浪這樣的網(wǎng)站，用戶(hù)當(dāng)然可以相信它，從而可以放心地運(yùn)行它提供的控件。 Java語(yǔ)言的使用與安全 1. Java語(yǔ)言的特點(diǎn) ? 對(duì)于一個(gè)經(jīng)常上網(wǎng)的用戶(hù)來(lái)說(shuō)，使用 Java語(yǔ)言是一件很平常的事，尤其是在聊天室中，網(wǎng)友們經(jīng)常用Java語(yǔ)言和其他人開(kāi)玩笑。但是 Java語(yǔ)言如果被黑客利用，也會(huì)造成很大的損失。 ? Java語(yǔ)言的誕生對(duì)整個(gè)計(jì)算機(jī)產(chǎn)業(yè)發(fā)生深遠(yuǎn)的影響，對(duì)傳統(tǒng)的計(jì)算模型提出了新的挑戰(zhàn)。 Java語(yǔ)言的特點(diǎn)：簡(jiǎn)單、面向?qū)ο蟆⒎植际?、解釋?zhí)行、安全、體系結(jié)構(gòu)中立、可移植、高性能、多線(xiàn)程以及動(dòng)態(tài)性。 ? 現(xiàn)將它的主要特點(diǎn)介紹如下： (1) 安全性 ? 用于網(wǎng)絡(luò)、分布環(huán)境下的 Java必須要防止病毒的入侵。 Java不支持指針，一切對(duì)內(nèi)存的訪(fǎng)問(wèn)都必須通過(guò)對(duì)象的實(shí)例變量來(lái)實(shí)現(xiàn)，這樣就防止程序員使用“特洛伊”木馬等欺騙手段訪(fǎng)問(wèn)對(duì)象的私有成員，同時(shí)也避免了指針操作中容易產(chǎn)生的錯(cuò)誤，這樣黑客就無(wú)法通過(guò)網(wǎng)頁(yè)中對(duì) Java進(jìn)行攻擊了 (所說(shuō)到的Java網(wǎng)頁(yè)進(jìn)攻，只是利用了瀏覽器或操作系統(tǒng)的漏洞，并不是 Java本身的錯(cuò)誤 )。 (2) Java Applet ? Java語(yǔ)言的特性使它可以最大限度地利用網(wǎng)絡(luò)。Applet是 Java的小應(yīng)用程序，它是動(dòng)態(tài)、安全、跨平臺(tái)的網(wǎng)絡(luò)應(yīng)用程序。 Java Applet嵌入 HIML語(yǔ)言， 通過(guò)主頁(yè)發(fā)布到 Inter。當(dāng)網(wǎng)絡(luò)用戶(hù)訪(fǎng)問(wèn)服務(wù)器的 Applet時(shí)，這些 Applet在網(wǎng)絡(luò)上進(jìn)行傳輸，然后在支持 Java的瀏覽器中運(yùn)行。由于 Java語(yǔ)言的機(jī)制，用戶(hù)一旦載入 Applet，就可以生成多媒體的用戶(hù)界面或完成復(fù)雜的應(yīng)用。 (3) Java是一種與平臺(tái)無(wú)關(guān)語(yǔ)言 ? Java程序編譯后，并不真正生成可執(zhí)行代碼，而是生成字節(jié)代碼，使用時(shí)運(yùn)行在 Java虛擬計(jì)算機(jī) (實(shí)際上是一個(gè)解釋器 )上。所以