JavaScript代码可导致浏览器攻击

　　据外电报道 安全研究人员已经发现一种利用JavaScript扫描家庭和企业网络，并攻击网络上服务器，以及路由器和打印机等设备的方法。

　　研究人员表示，恶意JavaScript代码能够被嵌入在一个Web 网页上，使用浏览器浏览该网页时，恶意代码就会在没有任何警告的情况下运行。他们说，由于通过浏览器运行，这种恶意代码能够绕过防火墙等安全设施。

　　Web 安全专业厂商SPI Dynamics的首席工程师霍夫曼说，我们已经发现一种技术，能够扫描一个网络、监视所有具有Web 功能的设备、向这些设备发送恶意攻击代码或命令的方法。它能够对处于防火墙保护下的网络进行扫描。

　　成功的攻击会造成重大影响。例如，它能够扫描家庭网络、探查路由器模式，然后发送命令开启无线网络，并关闭所有加密措施。它还会监视一个企业网络，针对网络上的服务器发动攻击。WhiteHat Security 的技术总监格罗斯曼表示，用户的浏览器可以用来攻击内部网络。

　　JavaScript问世已经有10年了，主要被用于Web 网站上，受AJAX等编程技术的影响，最近它越来越火了。AJAX在安全方面也有缺陷。

　　Nmap 网络端口扫描工具的开发者费奥多说，尽管很长时间以来黑客利用恶意JavaScript代码的可能性就一直存在，安全研究人员并没有对它给予足够的重视，而是将目光集中在了浏览器缺陷上。

　　费奥多表示，SPI Dynamics所发现缺陷的一个优势是，要修正它非常困难，因此可能在未来多年内得不到解决。

　　当运行时，该恶意代码会首先确定一台PC的内部网络地址。然后它会利用标准的JavaScript对象和命令，开始在局域网上搜索服务器，被搜索的服务器可能是托管有网页的计算机，也可能包括路由器、打印机、IP电话，以及其它配置有网卡的网络设备。

　　恶意JavaScript代码能够被托管在黑客的网站上，通过利用一个所谓的跨站点脚本缺陷，它也能够隐身于用户信赖的网站。谷歌、微软、雅虎等巨头已经修正了这一缺陷。

　　在保护自己避免受到这种攻击方面，PC用户几乎无能为力。专家指出，保护服务器和用户的安全主要靠网站开发人员。网站管理人员应当修正网站中的跨脚本缺陷，并对用户提交的JavaScript代码进行验证。

　　格罗斯曼表示，利用恶意JavaScript代码的攻击还不普遍。他说，JavaScript恶意代码还处于发展的早期，人们对它还缺乏足够的了解。我们未来会看到越来越多的类似攻击。