浏览网页有可能中木马或者病毒吗？

[sudoy]

有时候工作中收到一些带有链接的可疑邮件，我一般会提醒同事收到可疑的邮件不要点开里面的链接。作为一个业余开发者，今天忽然想认真研究下，到底单纯打开个网址，会不会造成中毒或者中木马？使用的设备包括 PC 和手机（ iOS 和安卓）。我目前偶尔会开发一些 chrome 插件（未打包的那种），给公司内部使用，但对 JavaScript 和 chrome 浏览器的知识还算很浅。先行谢过！

[ysc3839]

论可能性的话那当然是可能的，浏览器有可能存在漏洞。

[ysc3839]

举个典型的例子，运行 iOS 9.1 - 9.3.4 的 32 位设备可以通过网页来越狱 http://www.jailbreak.me/

[FlyingShark]

SVG 还有 PDF 相关的漏洞是有的，微信 webview 也出过漏洞

[LiYanHong]

楼主没经历过 ie6 年代吗
不过现代浏览器除了第三方插件和本身的漏洞，中毒可能性很小

[CrazyBoyFeng]

一般情况下，除非使用的是 ie 这种古代浏览器，现代浏览器都是沙箱环境，javascript 接触不到本地文件。

[czfy]

如果浏览网页不会中木马或者病毒，以前的木马或病毒都怎么传播？
U 盘传播那也得你插上的电脑已经中毒，最开始肯定是通过网络传播的啊..

只是现在不像以前，木马 /病毒少见了，不过最近最有名的当属勒索病毒

[WeaPoon]

会，只是现在可能性比较低，除非发现重大漏洞。以前网马可是很盛行的，下载 exe 和执行，有能利用的 0day 就等于看到了钱。

[cmdOptionKana]

有可能，但可能性极低，低到可以忽略。

打个比喻，过马路（即使遵守交通规则并很小心）有可能被车撞吗，有，但绝大多数情况下我们在实践中都忽略这个极低的可能性，当作不会被撞来处理就行了。

[interim]

Chromium 有沙箱机制，还是以最低权限运行的，macos 还有一层应用沙箱，突破沙箱还要提权...除非有 0 day
大规模使用 0 day 在普通人身上并不值，我认为普通人几乎没有可能遇到。

[cmostuor]

@chnyuwen 在普通的人能用得起电脑的家庭在怎么着家里都是有点储蓄的 而且把不是很多人都会有安全意识也很容易被欺骗 就程序员里有安全意识的都没多少何况什么技术都不懂的普通人。。。省去一堆巴拉巴拉的废话 在安全的机制或软件都抵不过一个愚蠢的人做的不安全的操作

[ifxo]

现在只要用最新的浏览器，就不可能中毒，打开网页只可能被钓鱼

[lixuda]

应该防的是打开网页后的操作，钓鱼，打开了下载文件等等

[sudoy]

谢谢各位回复！总结下就是，用现代的浏览器浏览网页中毒和木马可能性极低，倒是被钓鱼的可能性更大些。

[sudoy]

@czfy 我认为那是会下载文件（比如可执行文件）到本地电脑，诱导点击以后中毒的吧，单单浏览网页没有下载任何东西到本地的情况下，应该还是很难中毒的。

[czfy]

@sudoy 浏览行为本身就可以带来“下载”和感染，因为浏览本身就是本地电脑和服务器数据交换的过程，网站挂马也是访问即感染，不存在主动可感知的下载

[wysnylc]

以前有,现在少

[FlyingShark]

@sudoy 会的，不需要下载，现代浏览器依然存在浏览即执行恶意代码的情况，浏览器有解析漏洞，再配合沙箱逃逸 0day 漏洞，可以实现提权。 不过你放心，现在已经很少了，用户只要及时升级浏览器即可。

[sudoy]

@czfy 访问即感染！听起来挺可怕的，不过我还是不大明白。老的 IE 浏览器我不大熟悉，但是现代的浏览器比如 Chrome，哪怕是他在页面加载的时候就运行谋个下载动作，那 chrome 也会提示下载东西吧。感染就更不理解了，您说的是利用浏览器漏洞吧，单单 HTML/JavaScript，在 chrome 自带的沙箱的前提下，我很难想象能感染到本地文件。

[sudoy]

@FlyingShark 谢谢解答！

[czfy]

@sudoy 现代浏览器沙箱确实可以在一定程度上防范过往的木马 /病毒，但是实际上你打开网页就是把网页数据传输到你的本地啊...不是说只有下载文件才是下载