许多用于 chrome 的 Flash 网站白名单扩展（例如 flashblock 和 flashcontrol）使用 javascript 来选择性地阻止 Adobe Flash 运行。因此，为了获得此功能，我必须为该站点启用 javascript，从而导致不同类型的可能安全漏洞。这迫使您选择其中一个。在这种情况下你会更关心哪个？
flash 或 javascript 是更大的安全问题吗？
信息安全
网页浏览器
javascript
闪光
2021-09-07 14:52:52
4个回答
答案是：是的。您应该始终担心软件。
“复杂性是安全的最大敌人”
——布鲁斯·施尼尔
话虽如此，即使您的计算机已完全修补，许多 Flash 0 天之一仍可能危及计算机。无论您的机器是否打了补丁，XSS 都是可利用的。这个漏洞通常被 JavaScript 所利用，但它也可以被 Flash 所利用，因此拥有它们中的任何一个都是一个问题。同样重要的是要注意大约 90% 的网站在没有 JavaScript 的情况下将无法运行，因此禁用它是非常有问题的。基于 GET 的 CSRF 漏洞可以通过纯 HTML 来利用，因此即使禁用了 Flash 和 JS，您仍然可能被黑客入侵。
我会做什么： 将 Firefox 与NoScript一起使用。即使全局启用 JavaScript，NoScript 也会阻止大多数 CSRF 和 XSS 攻击。安装防病毒软件并使机器保持最新状态。
我认为，阻止两者并不是比保持系统、闪存引擎和防病毒更新更好的解决方案。Flash 和 Javascript 并不比您计算机中的任何其他应用程序更危险。他们有错误吗？是的，他们是固定的？是的。作为您的浏览器、操作系统和每一个软件。闪光灯被挡住了。您应该知道，例如，youtube 不会按预期工作。如果您阻止 javascript，其他一些依赖的网站将无法正常工作，并且您妻子的互联网体验可能不会像她预期的那样。
实际上，这些都不是“更大”的安全问题。DOM XSS 是最大的担忧，因为没有真正的实际预防措施。此外，试图通过设置大量网站白名单来保护自己会引起更多的麻烦。建议一箱娱乐，一箱用于银行等个人事务。或者进一步说明如何设置一个虚拟化环境，并拥有一个系统来执行涉及 Flash 或 javascript 的所有危险事情，而另一个系统是您可以在没有启用 Flash 或 javascript 的情况下进行银行业务的地方。
这里的问题是谁创造了更安全的软件？创建浏览器的人还是 Adobe？
它们几乎是平等的，尤其是对于所有 HTML 5 的东西。通常您需要为 Flash 启用 JavaScript，这样您就可以添加 Flash 作为潜在的带来额外攻击向量。
其它你可能感兴趣的问题