打造瀏覽器安全防線

　　目前，世界各地的信息安全公司和研究人員都在千方百計地發掘IE的最新安全漏洞，『火狐』瀏覽器的開發人員正在馬不停蹄地為其產品添加新的功能和新的安全性——相比之下，微軟似乎比較『悠閑』。然而，最近半年以來，人氣火爆的『火狐(Firefox)』也暴露出了一些重大的安全漏洞，導致其人氣指數上昇的勢頭明顯放緩。一些人已經開始質疑：真的有必要轉而使用一個可能像微軟的IE一樣不安全的瀏覽器嗎？

　　事實上，我們可以一種簡便的、不太為人所知的方法來避免在任何一款瀏覽器上都會存在的許多漏洞。這種方法就是利用一款由微軟程序員邁克爾·霍華德研制的工具軟件：『Drop My Rights』，中文名叫『系統權限降低器』。這款軟件在去年就已經推出，盡管它的使用方法很簡單，在IE等瀏覽器的安全漏洞頻頻爆發的背景下，卻沒有贏得廣大用戶的青睞。因此，在使用這款軟件的具體功能之前，我們有必要探討一下這款工具在信息安全方面的重要意義。下面，我們將在構建的一個虛擬機上測試這款工具軟件對於帶有惡意代碼和病毒的網頁的防御能力。.

　　『最低權限』原則

　　對於網絡管理員而言，『最低權限』原則是非常重要的。『最低權限』原則就是：普通用戶應該以能滿足操作任務需要的最低權限來運行各種程序。通常，這意味著:在多數情況下，以普通用戶的身份運行系統，只有在絕對必要的情況下，纔使用命令行操作『RunAs』或者『MakeMeAdmin』來提昇操作權限。否則，用戶就只能退出普通用戶的狀態，以系統管理員的身份重新登陸來進行一些必要的安裝操作——有時，甚至在安裝網絡瀏覽器本身的許多插件時也需要如此。這樣做比較麻煩，所以許多用戶寧願一直就處於系統管理員的操作狀態。這樣，問題就出來了！

　　公司企業中的普通臺式機都禁止以管理員身份運行，這依然是一個最好的措施。然而，在管理層權力比較分散的企業中，某些管理層高級人員的計算機操作往往成為一個嚴重的安全隱患。此外，網絡管理員以網絡管理員的身份在網上衝浪的行為也是一個安全隱患。降低基於網絡的各種應用程序的運行權限，就能有效地減少網絡信息安全方面的風險。

　　微軟研發人員邁克爾·霍華德在發布了『系統權限降低器』(Drop My Rights)之後，再次向廣大電腦用戶發出警示：『以系統管理員的身份運行電腦，對於個人電腦的系統安全和數據安全是非常危險的！』熟諳網絡安全的計算機用戶都知道這一點，但是許多人依然我行我素。如果不想一下子降低全部應用程序的運行權限，高級權限用戶(Power users)也可以僅僅降低那些面向網絡應用的各種軟件的權限，諸如IE，Firefox，即時通訊工具(IM)，Outlook，Outlook Express，Notes，Thunderbird等等。

　　『系統權限降低器』

　　『系統權限降低器』(Drop My Rights)是一個能夠把其他程序的運行路徑作為參數的小工具。例如，一個系統管理員身份的用戶想要以更加安全的方式運行Internet Explorer，那麼他可以運行下面的這個命令行：

　　C:\path\to\dropmyrights.exe "C:\Program Files\Internet Explorer\iexplore.exe" C　這樣，就能讓IE以比較低的系統權限(Level C)來運行，即『受限用戶身份(Constrained user)』。在這種情況下，倘若IE或者Firefox出現任何安全漏洞，其影響都能得到極大程度的控制。『系統權限降低器』這個小工具所涉及到的三個參數如下：

　　N代表著普通用戶(Normal User) C 代表著受限用戶(Constrained User) U 代表著不受信任用戶(該設置將導致大多數網絡應用軟件的無法運行)

　　下面，我們進行一些簡單的測試來看看是否Windows系統將會在安裝該工具軟件之後變得更加安全。

　　測試過程

　　首先，我們做一些准備工作，因為測試需要在受控環境中進行。微軟公司和VMWare推出的『虛擬機(Virtual machines)』就能夠為我們提供這樣的測試環境，它能夠對系統創建還原點，所以方便我們把系統迅速恢復到以前的狀態。我們的測試是在Windows XP的環境中進行的，沒有安裝任何系統補丁，在安裝後立即創建了還原點。

　　在測試中，我們用進入某個在線免費殺毒的網址來監測系統的病毒感染情況。為此，我們在進行其他操作之前對受測電腦進行了在線掃描。結果不出所料，沒有發現病毒。掃描之後，出於謹慎起見，我們再次恢復了系統的初始狀態。

　　第一次測試的過程如下：

　　把Windows系統恢復到初始狀態(已經完成)。

　　列出一系列含有惡意代碼、廣告軟件等的網址。

　　用Internet Explorer打開這些網址進行正常瀏覽。

　　注意觀察在瀏覽時出現的各種異常現象。

　　用在線殺毒方式進行再次查毒。

　　用記事本復制出這些網址，以備在後續的測試中繼續使用。

　　在瀏覽測試中，許多莫名其妙的應用程序被強制安裝了，IE的操作界面上增添了各種各樣的按鈕和搜索工具條，不時有窗口自動彈出並消失，也有許多的彈出式窗口，虛擬機的運行也明顯變慢了！啟動在線查毒之後，掃描過程中就出現了非法操作而嘎然而止，盡管也發現了7處病毒感染。

　　第二次測試的過程如下：

　　把Windows系統恢復到初始狀態(已經完成)。

　　使用在第一次測試中的那些惡意網址。

　　按照安裝說明來安裝出『系統權限降低器』。本次測試中，使用『U』參數(即正常權限，比系統管理員的權限要低)。

　　在IE中再次進入上述的含有惡意代碼的網站。

　　注意觀察在瀏覽時出現的各種異常現象。

　　用在線殺毒方式進行再次查毒。

　　在第二次測試中，值得一提的唯一現象是：仍然出現了彈出式窗口，但是沒有彈出後又自動消失的窗口，也沒有被強制地安裝上莫名其妙的小工具。在線掃描之後，發現4個病毒。下面，我們繼續進行第三次測試，將使用『C』參數進行惡意站點的訪問。

　　第三次測試的過程如下：

　　把Windows系統恢復到初始狀態(已經完成)。

　　使用在第一次測試中的那些惡意網址。

　　按照安裝說明來安裝出『系統權限降低器』。本次測試中，使用『C』參數(即受限用戶身份)。

　　在IE中再次進入上述的含有惡意代碼的網站。

　　注意觀察在瀏覽時出現的各種異常現象。

　　用在線殺毒方式進行再次查毒。

　　在本次測試中，我們觀察到的唯一異常現象就是：瀏覽器窗口會自動最大化。所有以前的各種異常窗口都沒有出現，病毒掃描也沒有發現異常，一切效果都到達了預期。

　　面向普通用戶的簡潔操作方式

　　下面，我們介紹一下利用快捷方式實現應用程序以更低權限運行的方法，這對於必須要以高級用戶或者超級管理員的身份運行系統的用戶來說特別有實踐意義。對應用程序的快捷方式點擊右鍵選擇『屬性』之後，就把『運行目標』改為首先調用Dropmyrights.exe就行了。請參考下面的圖(1)：

圖（1），設置一個調用DropMyRights.exe的快捷方式

　　值得注意的是，當其他程序被當前的程序調用時，降低了的權限狀態也會被賦予其他程序。例如，當Windows Media Player, Adobe Acrobat, WinZip等程序被瀏覽器啟動時，它們就會以瀏覽器同樣的權限狀態開始運行。當然，僅僅這種效果本身並不能提供絕對的安全。

　　這裡，我們可以使用SysInternals公司推出的免費工具『Process Explorer』來確認各種進程及其調用的子進程的權限。

　　同樣，我們也可以使用由微軟研發人員Aaron Margosis制作的IE瀏覽器工具欄插件『PrivBar』，這款工具能夠直觀地顯示IE的當前運行權限(超級管理員、高級管理員、普通用戶、或者受限用戶)。在使用『DropMyRights.exe』時我們可以使用上述的兩個軟件來監測IE的運行權限。

　　若乾缺陷

　　我們已經提到，較低的系統權限有時也會影響正常的功能。例如，當我們以最嚴格的『U』參數(不信任用戶的權限)運行IE的時候，IE的功能就完全喪失了。此外，使用『C』參數(受限用戶的權限)的時候，某些網站也無法訪問——例如，www.espn.com就只能顯示部分網頁，並且彈出一個報錯提示。

　　在正常模式(『N』參數)下，仍然有一些權限限制，但是許多受限用戶狀態下的不正常情況沒有了。SSL協議在『受限模式(C)』下不能正常工作，但是在『正常模式(N)』下就很正常，——『DropMyRights』的開發者也意識到這個問題。事實上，我們發現有大量的軟件都不能直接地在『受限模式(C)』下正常工作。看來，這款軟件最好是用來控制各種網絡應用軟件(即時通訊、電子郵件、媒體播放器等等)。你可以在最嚴格的『U參數』模式下測試某個軟件的功能，或者你也可以為同一個軟件做出不同的快捷方式，以便得到更佳的功能。

　　誠然，你在操作系統中降低了權限就必然會犧牲某些功能。以『Macromedia Shockwave』為例，它就需要在系統管理員的權限下纔能安裝。根據我個人的經驗，在某些情況下甚至連它的運行也需要系統級權限。所以，『最低權限』這個原則並非總是很實用。在普通用戶確實需要系統級權限的情況下，『DropMyRights.exe』就能發揮優勢。

　　真的安全了嗎？

　　本文中的工具軟件可能會給普通使用者一種虛幻的安全感。盡管由受限瀏覽器調用的其他應用程序也只能具有有限的權限，但是仍然有可能實現權限的逐步提昇。此外，我們應該意識到系統漏洞的蓄意利用也不會因此受到阻止。最有可能遇到的情況是把欺騙和社會工程學融為一體的『釣魚』技術。顯然，『DropMyRights.exe』並不是用來解決這些問題的，從總體上看，IE的最重大問題都主要出在緩衝區溢出。『DropMyRights.exe』應該可以在一定程度上限制緩衝區溢出可能帶來的安全問題。

　　結束語

　　總體而言，如果整個網絡的用戶都能以非系統管理員的身份登錄電腦，安全狀況就會好得多。病毒、間諜軟件、木馬等等往往是通過各種網絡應用程序的安全漏洞纔進入本地系統的，——或者是滲透在網頁中，或者是包含在電子郵件的附件裡。然而，由於安裝軟件需要重新進入系統管理員狀態，一般用戶往往嫌這樣做太麻煩。另一款軟件『DropMyAdmin』(用來把超級管理員身份轉成普通用戶身份)能夠在一定程度上解決基於瀏覽器的安全漏洞和系統漏洞所帶來的安全問題，但是這也只是『最低權限』原則的實例之一。