浏览网页有可能中木马或者病毒吗？

[sudoy]

有时候工作中收到一些带有链接的可疑邮件，我一般会提醒同事收到可疑的邮件不要点开里面的链接。作为一个业余开发者，今天忽然想认真研究下，到底单纯打开个网址，会不会造成中毒或者中木马？使用的设备包括 PC 和手机（ iOS 和安卓）。我目前偶尔会开发一些 chrome 插件（未打包的那种），给公司内部使用，但对 JavaScript 和 chrome 浏览器的知识还算很浅。先行谢过！

[zzzmh]

讲道理我不懂底层，但我猜测用 chrome，不执行下载到本地的风险文件，不装有风险的权限的插件，应该没那么牛逼能让电脑中毒

[illl]

如果存在 xss 和 crsf 漏洞的话还是会有影响的

[sudoy]

@zzzmh 我也是这么认为的，现在绝大多数网址都不允许跨域，一些敏感的网址比如银行网址也都做的比较严谨。不过从楼上的评论来看，确实还是有一定风险。一些可疑的邮件还是不要去点开里面的链接。

[CrazyBoyFeng]

@czfy 下载不会感染，运行才会感染。而运行在沙箱里的程序也触摸不到沙箱之外。
现代浏览器不通过漏洞没法独立执行用户级进程。ie 从 ie7 开始都是纯沙箱了。
随着浏览器的更新换代，能被利用的漏洞是稀有的。这类漏洞即便被掌握，其漏洞价值之巨大，一般也只会用来对少数目标进行隐蔽的精准攻击。广泛的无差别攻击难以带来巨大利润，且还会被公众迅速发现后修补掉。
不推荐用那种内核万年不升级的第三方 chromium 套壳浏览器。

[CEBBCAT]

@zzzmh #20 不懂可以只看帖不回帖呀，这次你猜错了。我也不懂，但我会 Google 搜索，然后我搜到了这些漏洞：
CVE-2019-5786： https://www.anquanke.com/post/id/173681
CVE 2019-5786： https://xz.aliyun.com/t/4502
Magellan 2.0： https://www.solidot.org/story?sid=63057

[sudoy]

@CrazyBoyFeng 谢谢👍

[sudoy]

@CEBBCAT 哇，这些资料就很专业了！多谢

[crab]

经历过 IE 浏览器那会网马是真多，最爽的是 0day 在补丁日前流出。

[sudoy]

@crab 所以 IE 是用来下载 Chrome 的 😄

[nuistzhou]

犹记得很多年前 QQ 空间都是可以挂马的。。。

[xxxy]

[图片] cve-2020-16016，cve-2020-16017 只要访问黑客控制的网站就能被 rce

[systemcall]

自从浏览器使用沙箱、插件用 PPAPI 而不是 NPAPI 、默认禁用 Flash 、浏览器以低权限启动，浏览网页就安全得多了
以前 XP+IE6 的时候，浏览网页中毒的可能性还是挺大的，挂马的方式多得是，甚至服务器也有不少中毒的。NT6 开始有了 UAC，浏览器默认是低权限启动，好了很多。再就是 Chrome 的沙盒，以及后来开始淘汰 NPAPI 、插件也放在沙盒里跑，再就是淘汰 Flash

[sampeng]

所以每年的各大浏览器请黑客攻击自己浏览器是好玩嚒…

[lawler]

以前是攻击，现在是钓鱼。

[loading]

现在已经很安全了，况且现在盗号什么的都法律上禁止了。

[chocovon]

按照木桶原理，大众用户所面临的安全问题其实都不是技术问题，多提个醒总没错