【TechTarget中国原创】问：请您解释一下Web浏览器攻击的基础，你能提供一个例子，说明Web浏览器攻击如何使攻击者影响企业系统？答：先来看一类攻击，攻击者的目标是浏览器或者浏览器要求处理Web请求的应用中的漏洞。例如，攻击者可以使用mozilla_compareto模式——构建在Aviv Raff研究上的Metasploit模式——把他们的系统作为Web服务器。当可信任的受害者和恶意的攻击者网站连接的时候，它就会发起对浏览器本身的攻击，在目标系统上为恶意黑客创建壳……

【TechTarget中国原创】问：请您解释一下Web浏览器攻击的基础，请您提供一个例子，说明Web浏览器攻击如何使攻击者影响企业系统？

　　答：先来看一类攻击，攻击者的目标是浏览器或者浏览器要求处理Web请求的应用中的漏洞。例如，攻击者可以使用mozilla_compareto模式——构建在Aviv Raff研究上的Metasploit模式——把他们的系统作为Web服务器。当可信任的受害者和恶意的攻击者网站连接的时候，它就会发起对浏览器本身的攻击，在目标系统上为恶意黑客创建壳。

　　攻击者的目标还可以使浏览器利用网站的应用。例如，攻击者可以攻击RealPlayer、QuickTime，或者甚至是受害者的杀毒程序。

　　下一步，攻击者可以向浏览器发出恶意的Javascript请求。这种技术叫做跨站脚本攻击（XSS）或者跨站请求伪造（XSRF）。除了跨站脚本攻击和跨站请求伪造，创造性的攻击者可以获得受到影响的浏览器的历史记录，或者目前在受害者的剪贴板上的内容。这些内容可能包括用户的密码或者信用卡号码。和这些攻击连接最好的是bindshell.net 的Browser Exploitation Framework。

　　对这些类型的威胁的防御应该总是教育用户不要点击来自陌生人的连接，并且堤防验证错误。安全经理应该花一些时间考虑哪些网站用户需要继续工作。还要考虑开发用户Web访问白名单。过滤应该允许用户只能访问被认可的网站，而且阻止其他的一切。