我想知道以下内容是否足以避免恶意软件，因为我觉得媒体和其他咨询资源并不总是清楚地说明 PC 被感染的所有方法。
在我看来，感染的关键步骤是用户有意识地选择运行电子邮件或下载中的可执行附件，以及查看需要插件（Flash、Java 或其他）的内容。这个有意识的步骤可分为以下几种可能性：
不要打开电子邮件附件：当然同意这一点。但是让我们尝试要清楚：电子邮件分为两部分 - 正文和附件。阅读电子邮件应该没有风险，对吧？但打开（即运行）电子邮件附件是有风险的（附件中可能存在恶意软件）
不要执行下载（例如从可疑电子邮件或其他方式链接的网站）：再次同意这一点（恶意软件可能存在于可执行文件中）。通常用户必须自愿点击下载，或者至少点击运行可执行文件。问题：有没有这样的情况：用户访问了一个网站，下载已经完成在其自己的然后运行在其自己的？
不要运行需要插件的内容：完全同意：恶意软件可能存在于可执行文件中。我隐约记得 Flash 的情况，但对基于 Java 的漏洞了解得更多。
现在，以上这些够了吗？请注意，我比这要谨慎得多。我担心的是，媒体并不总是很清楚恶意软件感染是如何发生的。他们谈论“陷阱网站”、“浏览器攻击”——到底是怎么发生的？
我认为另一个威胁是恶毒的使用 Javascript 在用户的机器上运行可执行文件。我是否正确，是否有关于此的详细信息可供阅读。一般来说，作为开发人员，我喜欢使用 Javascript，请注意。
一个可以接受的答案将填补我在这里遗漏的任何漏洞，以便我们对威胁有一个完整的总体了解（即使新威胁的实际具体细节有所不同，但一般载体是已知的）。
答案1
是的，Flash 和 Java（通过浏览器）一直被恶意脚本利用。但是，这种情况可能在未经用户同意的情况下发生。请参阅驱动（下载/缓存）（尽管我认为您更感兴趣的是下载缓存）。
我想有些人可以手动安装该程序，但不要忘记其他的事情，比如插入 USB 记忆棒/CD 等（有些操作系统不允许自动运行，有些则允许）。
关于电子邮件，客户端具有不同级别的安全性...例如，您可以在某些电子邮件客户端中运行 javascript，但不能在最新的 2 或 3 个 MS Office 版本中运行...因此，您可能不仅仅是需要担心的附件（但是，我并不是说这会执行病毒，只是它可能会运行恶意脚本。也许它会报告使您的 PC 可识别的信息，当您访问某个网站时，这些信息就可以被使用）。
您还需要警惕网络上的攻击。即使您非常谨慎，网络上的其他人也可能不谨慎，从他们的机器执行病毒，并通过 LAN 传播。在这种情况下，您的 3 分将无法挽救您。
既然您提到 javascript 是一种语言，我要指出的是，攻击通常可以采用多种技术。再次使用 Drive by cache 示例，其中恶意攻击可能是 javascript 和 swf 的组合，以执行一些 VB。javascript 引用邪恶的地方或事物，swf 文件执行邪恶！
对于媒体的建议，我一般会忽略。如果你想知道，可以在 SU 等网站上提问，或者https://security.stackexchange.com/。问题是，媒体吓坏了人们，因为在我看来，他们经常（并非总是）只是报道他们被告知的事情……而细节要求它是一般性的。他们怎么能就此提出建议……想想看，以前只有病毒……然后是木马……然后是蠕虫。现在是恶意软件。现在是恐吓软件。我的勒索软件。现在更多的软件。