堵住浏览器的漏洞 打造信息安全终极防线

　　目前，世界各地的信息安全公司和研究人员都在千方百计地发掘IE的最新安全漏洞，“火狐”浏览器的开发人员正在马不停蹄地为其产品添加新的功能和新的安全性——相比之下，微软似乎比较“悠闲”。然而，最近半年以来，人气火爆的“火狐(Firefox)”也暴露出了一些重大的安全漏洞，导致其人气指数上升的势头明显放缓。一些人已经开始质疑：真的有必要转而使用一个可能像微软的IE一样不安全的浏览器吗?

　　事实上，我们可以一种简便的、不太为人所知的方法来避免在任何一款浏览器上都会存在的许多漏洞。这种方法就是利用一款由微软程序员迈克尔·霍华德研制的工具软件：“Drop My Rights”，中文名叫“系统权限降低器”。这款软件在去年就已经推出，尽管它的使用方法很简单，在IE等浏览器的安全漏洞频频爆发的背景下，却没有赢得广大用户的青睐。因此，在使用这款软件的具体功能之前，我们有必要探讨一下这款工具在信息安全方面的重要意义。下面，我们将在构建的一个虚拟机上测试这款工具软件对于带有恶意代码和病毒的网页的防御能力。.

　　“最低权限”原则

　　对于网络管理员而言，“最低权限”原则是非常重要的。“最低权限”原则就是：普通用户应该以能满足操作任务需要的最低权限来运行各种程序。通常，这意味着:在多数情况下，以普通用户的身份运行系统，只有在绝对必要的情况下，才使用命令行操作“RunAs”或者“MakeMeAdmin”来提升操作权限。否则，用户就只能退出普通用户的状态，以系统管理员的身份重新登陆来进行一些必要的安装操作——有时，甚至在安装网络浏览器本身的许多插件时也需要如此。这样做比较麻烦，所以许多用户宁愿一直就处于系统管理员的操作状态。这样，问题就出来了!

　　公司企业中的普通台式机都禁止以管理员身份运行，这依然是一个最好的措施。然而，在管理层权力比较分散的企业中，某些管理层高级人员的计算机操作往往成为一个严重的安全隐患。此外，网络管理员以网络管理员的身份在网上冲浪的行为也是一个安全隐患。降低基于网络的各种应用程序的运行权限，就能有效地减少网络信息安全方面的风险。

　　微软研发人员迈克尔·霍华德在发布了“系统权限降低器”(Drop My Rights)之后，再次向广大电脑用户发出警示：“以系统管理员的身份运行电脑，对于个人电脑的系统安全和数据安全是非常危险的!”熟谙网络安全的计算机用户都知道这一点，但是许多人依然我行我素。如果不想一下子降低全部应用程序的运行权限，高级权限用户(Power users)也可以仅仅降低那些面向网络应用的各种软件的权限，诸如IE，Firefox，即时通讯工具(IM)，Outlook，Outlook Express，Notes，Thunderbird等等。

　　“系统权限降低器”

　　“系统权限降低器”(Drop My Rights)是一个能够把其他程序的运行路径作为参数的小工具。例如，一个系统管理员身份的用户想要以更加安全的方式运行Internet Explorer，那么他可以运行下面的这个命令行：

　　C:\path\to\dropmyrights.exe "C:\Program Files\Internet Explorer\iexplore.exe" C

　　这样，就能让IE以比较低的系统权限(Level C)来运行，即“受限用户身份(Constrained user)”。在这种情况下，倘若IE或者Firefox出现任何安全漏洞，其影响都能得到极大程度的控制。“系统权限降低器”这个小工具所涉及到的三个参数如下：

　　N 代表着 普通用户(Normal User)

　　C 代表着 受限用户(Constrained User)

　　U 代表着 不受信任用户 (该设置将导致大多数网络应用软件的无法运行)

　　下面，我们进行一些简单的测试来看看是否Windows系统将会在安装该工具软件之后变得更加安全。

　　测试过程

　　首先，我们做一些准备工作，因为测试需要在受控环境中进行。微软公司和VMWare推出的“虚拟机(Virtual machines)”就能够为我们提供这样的测试环境，它能够对系统创建还原点，所以方便我们把系统迅速恢复到以前的状态。我们的测试是在Windows XP的环境中进行的，没有安装任何系统补丁，在安装后立即创建了还原点。

　　在测试中，我们用进入某个在线免费杀毒的网址 来监测系统的病毒感染情况。为此，我们在进行其他操作之前对受测电脑进行了在线扫描。结果不出所料，没有发现病毒。扫描之后，出于谨慎起见，我们再次恢复了系统的初始状态。

　　第一次测试的过程如下：

　　把Windows系统恢复到初始状态(已经完成)。

　　列出一系列含有恶意代码、广告软件等的网址。

　　用Internet Explorer打开这些网址进行正常浏览。

　　注意观察在浏览时出现的各种异常现象。

　　用在线杀毒方式进行再次查毒。

　　用记事本复制出这些网址，以备在后续的测试中继续使用。

　　在浏览测试中，许多莫名其妙的应用程序被强制安装了，IE的操作界面上增添了各种各样的按钮和搜索工具条，不时有窗口自动弹出并消失，也有许多的弹出式窗口，虚拟机的运行也明显变慢了!启动在线查毒之后，扫描过程中就出现了非法操作而嘎然而止，尽管也发现了7处病毒感染。

　　第二次测试的过程如下：

　　把Windows系统恢复到初始状态(已经完成)。

　　使用在第一次测试中的那些恶意网址。

　　按照安装说明来安装出“系统权限降低器”。本次测试中，使用“U”参数(即正常权限，比系统管理员的权限要低)。

　　在IE中再次进入上述的含有恶意代码的网站。

　　注意观察在浏览时出现的各种异常现象。

　　用在线杀毒方式进行再次查毒。

　　在第二次测试中，值得一提的唯一现象是：仍然出现了弹出式窗口，但是没有弹出后又自动消失的窗口，也没有被强制地安装上莫名其妙的小工具。在线扫描之后，发现4个病毒。下面，我们继续进行第三次测试，将使用“C”参数进行恶意站点的访问。

　　第三次测试的过程如下：

　　把Windows系统恢复到初始状态(已经完成)。

　　使用在第一次测试中的那些恶意网址。

　　按照安装说明来安装出“系统权限降低器”。本次测试中，使用“C”参数(即受限用户身份)。

　　在IE中再次进入上述的含有恶意代码的网站。

　　注意观察在浏览时出现的各种异常现象。

　　用在线杀毒方式进行再次查毒。

　　在本次测试中，我们观察到的唯一异常现象就是：浏览器窗口会自动最大化。所有以前的各种异常窗口都没有出现，病毒扫描也没有发现异常，一切效果都到达了预期。

　　面向普通用户的简洁操作方式

　　下面，我们介绍一下利用快捷方式实现应用程序以更低权限运行的方法，这对于必须要以高级用户或者超级管理员的身份运行系统的用户来说特别有实践意义。对应用程序的快捷方式点击右键选择“属性”之后，就把“运行目标”改为首先调用Dropmyrights.exe就行了。请参考下面的图(1)：

　　图(1)，设置一个调用DropMyRights.exe的快捷方式

　　值得注意的是，当其他程序被当前的程序调用时，降低了的权限状态也会被赋予其他程序。例如，当Windows Media Player, Adobe Acrobat, WinZip等程序被浏览器启动时，它们就会以浏览器同样的权限状态开始运行。当然，仅仅这种效果本身并不能提供绝对的安全。

　　这里，我们可以使用SysInternals公司推出的免费工具“Process Explorer”来确认各种进程及其调用的子进程的权限。

　　同样，我们也可以使用由微软研发人员Aaron Margosis制作的IE浏览器工具栏插件“PrivBar”，这款工具能够直观地显示IE的当前运行权限(超级管理员、高级管理员、普通用户、或者受限用户)。在使用“DropMyRights.exe”时我们可以使用上述的两个软件来监测IE的运行权限。

　　若干缺陷

　　我们已经提到，较低的系统权限有时也会影响正常的功能。例如，当我们以最严格的“U”参数(不信任用户的权限)运行IE的时候，IE的功能就完全丧失了。此外，使用“C”参数(受限用户的权限)的时候，某些网站也无法访问——例如，www.espn.com就只能显示部分网页，并且弹出一个报错提示。

　　在正常模式(“N”参数)下，仍然有一些权限限制，但是许多受限用户状态下的不正常情况没有了。SSL协议在“受限模式(C)”下不能正常工作，但是在“正常模式(N)”下就很正常，——“DropMyRights”的开发者也意识到这个问题。事实上，我们发现有大量的软件都不能直接地在“受限模式(C)”下正常工作。看来，这款软件最好是用来控制各种网络应用软件(即时通讯、电子邮件、媒体播放器等等)。你可以在最严格的“U参数”模式下测试某个软件的功能，或者你也可以为同一个软件做出不同的快捷方式，以便得到更佳的功能。

　　诚然，你在操作系统中降低了权限就必然会牺牲某些功能。以“Macromedia Shockwave”为例，它就需要在系统管理员的权限下才能安装。根据我个人的经验，在某些情况下甚至连它的运行也需要系统级权限。所以，“最低权限”这个原则并非总是很实用。在普通用户确实需要系统级权限的情况下，“DropMyRights.exe”就能发挥优势。

　　真的安全了吗?

　　本文中的工具软件可能会给普通使用者一种虚幻的安全感。尽管由受限浏览器调用的其他应用程序也只能具有有限的权限，但是仍然有可能实现权限的逐步提升。此外，我们应该意识到系统漏洞的蓄意利用也不会因此受到阻止。最有可能遇到的情况是把欺骗和社会工程学融为一体的“钓鱼”技术。显然，“DropMyRights.exe”并不是用来解决这些问题的，从总体上看，IE的最重大问题都主要出在缓冲区溢出。“DropMyRights.exe”应该可以在一定程度上限制缓冲区溢出可能带来的安全问题。

　　结束语

　　总体而言，如果整个网络的用户都能以非系统管理员的身份登录电脑，安全状况就会好得多。病毒、间谍软件、木马等等往往是通过各种网络应用程序的安全漏洞才进入本地系统的，——或者是渗透在网页中，或者是包含在电子邮件的附件里。然而，由于安装软件需要重新进入系统管理员状态，一般用户往往嫌这样做太麻烦。另一款软件“DropMyAdmin”(用来把超级管理员身份转成普通用户身份)能够在一定程度上解决基于浏览器的安全漏洞和系统漏洞所带来的安全问题，但是这也只是“最低权限”原则的实例之一。