☰

JavaScript 到底有多危险？

tag-icon • tag-icon security javascript
JavaScript 到底有多危险？

我最近开始使用无脚本（除了 ABP）。需要花一点时间来适应它，有时在访问新网站时需要点击几下才能查明网站无法正常工作的原因以及我需要从哪里允许 JavaScript。额外的安全性值得吗？

一些争议讨论这里。我认为这归根结底就是 JavaScript 是否对您的计算机构成真正的威胁。对此有什么看法？

答案1

NoScript 存在的原因并不一定是 JavaScript本身，但浏览器中存在安全漏洞。过去，Firefox 和其他浏览器存在许多安全漏洞，允许恶意 JavaScript 对用户系统造成不良影响。（在许多情况下，本机代码可以通过 JavaScript 执行，这意味着网站可能会对您的计算机造成任何影响。）还有可能跨站脚本攻击，就像@Eric 所说的那样。

但是，除非您经常浏览可疑网站，否则这些威胁很少见，因此 NoScript 是否值得您费心，取决于您自己。就我个人而言，我认为它不值得，尤其是考虑到越来越多的网站需要 JavaScript 才能运行，这意味着您将不断将脚本或整个域列入白名单（此时，您就失去了使用它的一些好处）。

答案2

看http://en.wikipedia.org/wiki/Cross-site_scripting和http://en.wikipedia.org/wiki/Cross-site_request_forgery有关恶意人士如何使用 JavaScript 造成问题的示例。

仅供参考 - 我个人不推荐使用 NoScript，因为我觉得它很麻烦。有时你只需要注意浏览的位置并希望一切顺利。

答案3

  • 编写不当或恶意的 JavaScript 可能会导致浏览器崩溃或冻结

  • JavaScript 可能被用来引发驱动下载

  • 但是，如果使用得当，JavaScript 确实可以增强网页浏览体验

有利有弊，但总体来说还是值得的。顺便说一句，我总是使用 NoScript 扩展，选择性地启用我经常访问的、我认为是安全的网站的脚本。

答案4

连接到互联网的计算机中，几乎没有哪台计算机是可以防御漏洞的。甚至不需要 MeltDown 或 Spectre 就可以在您的机器上植入恶意广告，它来自受信任的网站，就像往常一样。

这就是去年恶意广告泛滥成灾的原因 Zirconium 集团的强制重定向会推送虚假恶意软件和虚假 Flash 更新。DAN GOODIN - 2018 年 1 月 23 日，上午 5:00

在 1990 年代，Netscape Navigator 对 javaScript 进行了数字签名，现在我们需要它的改进版本。

相关内容