2月10日 IE9 rc就要发布啦

yyr2000

我只想用正式版

fangweiqin

等待正式版也不迟

あ掵㊣峫淰℡

chrome

比mse+ie安全吧

wuyuanzi

あ掵㊣峫淰℡ 发表于 2011-1-30 21:39
chrome

比mse+ie安全吧

无视你的存在

wuyuanzi

あ掵㊣峫淰℡ 发表于 2011-1-30 21:39
chrome

比mse+ie安全吧

你了解过ie9吗 你了解过ie9的安全性吗

sb321

消息确实么？

あ掵㊣峫淰℡

回复 15楼 wuyuanzi 的帖子

是否了解chrome都比ie9安全
（缓存格式摆着哪）

wuyuanzi

あ掵㊣峫淰℡ 发表于 2011-1-31 08:49
回复 15楼 wuyuanzi 的帖子

是否了解chrome都比ie9安全

说真的，chrome的缓存格式还真看不出来有什么安全性，而且，我也看不出来它的缓存“格式”究竟有什么特别的地方？好，姑且我们把其经过压缩的缓存稍微看作与众不同，你还真以为但凡chrome挂马缓存（假设在加载到缓存后）就无法执行？页面JS就无法运行？得了，那干脆ms也立马引入chromium。。。。这点普通小老百姓都想到了。。。。
chrome的安全机制在于社工而非本身，有些话不全对，但是有一定道理，chrome受众较小：针对性自然较小，加之chromium的开源修补优势罢了，并不见得就一定安全，所以才有chrome本身识别url拦截的加入进行补充，如果chrome os像今天的windows的话，估计你上面恐怕会改成“难道一个ie还不如chrome+谷歌杀毒？”，那可真是笑话了。
另外，也不要拿chrome的沙箱来说话，我见过很多人动不动说chrome安全就拿沙箱来说，此沙箱非彼诸如sandboxie的沙箱，只是将独立的标签内容置于不同的sandbox环境中，保证任何一个标签的崩溃不会影响其它标签，这也是chrome一个标签就一个进程的原因；
而且，该sandbox的实现反而更多依赖windows操作系统的安全机制，如restricted token，job object，windows desktop，还有integrity level来实现，才能保证其独立的低权限进程，最大化利用windows本身提供的相关api限制进程权限，比如让进程无法访问任何文件、无法注入其他进程等等。记住，是依赖windows操作系统的安全机制！
而且，这种安全机制也有自己的局限性：比如防护类型受限，malware codes可以从主进程获得泄漏资料，比如受所依赖的windows系统限制无法对fat和fat32文件提供保护，plugin进程不受沙盘保护，而且如果windows本身的api就存在漏洞，sandbox就形同虚设。
真正的沙盘是利用虚拟重定向技术，在ring层hook加载自身驱动保护底层数据，一个是应用层，一个是驱动层，怎么能相提并论？
更何况的是，chrome有沙盘，ie也有沙盘，被无数屁民选择性忽视罢了。ie9新加入的随机内存管理机制已经加大了攻击者攻克的难度（但也不是说就不能攻克），新增的protected mode，重定向限制，内容安全策略，插件注册机制你了解吗？chrome的插件由于要直接大量操作系统资源而不在沙盘中运行，ie提供的插件智能管理，将所有插件排除在进程管理之外，也避免有人利用插件缺陷代码绕过数据执行保护和地址空间布局随机化的攻击。简单层面来看，沙盘、保护模式、smartscreen筛选，inprivate筛选和浏览，哪一点不在加强，安全性已经较高了。
总而言之，chrome不比ie安全，从技术角度非你我能感知，最多就是受众范围而受攻击范围的影响罢了，别人云亦云的搬出什么“chrome比ie安全”的话来忽悠大众麻痹自己。
BTW，我也很喜欢chrome，功能性上的。

あ掵㊣峫淰℡

回复 18楼 wuyuanzi 的帖子

算你厉害


不过依然mse+chrome不动摇

帅就是帅

wuyuanzi 发表于 2011-1-31 11:35
说真的，chrome的缓存格式还真看不出来有什么安全性，而且，我也看不出来它的缓存“格式”究竟有什么特别 ...

所见略同