巧妙运用NoScript阻止脚本攻击

脚本攻击或跨站脚本攻击是非常隐蔽的一种攻击手段，普通用户在不知不觉中可能已经被入侵者控制。因此，对付这种攻击已经成为普通用户的燃眉之急。今天，我们要请出一位对付脚本攻击的大侠—NoScript。IXPUB技术博客f(sW#g o R.?"OPlt ~

NoScript是何方神圣?它乃是Firefox的一个扩展程序，可以提供对Firefox浏览器的额外保护，同时还支持Flock、Seamonkey等基于mozilla的浏览器。它是一个开源的插件，可以准许浏览器执行可信任网站上的JavaScript、Java、Flash及其它插件（例如，用户的网上银行站点的脚本），并可以在浏览器中提供强健的反跨站脚本攻击保护功能。

)y]0h*YO@0IXPUB技术博客Y~.K"^ `(A

此软件拥有独一无二的“白名单”列表，采用“预先脚本阻止”方法，防止用户计算机上的安全漏洞被恶意利用（不管这种漏洞已知或不可知），却又不影响浏览器的功能。

9Zx X)R#~N$iwrL*x~0

ki?a,Yj0用户可以启用可信任网站(如51cto.com)上的JavaScript、Java等插件，方法是单击浏览器状态栏的“已禁止目前的JS”图标，然后选择“允许51cto.com”或“暂时允许51cto.com”等相关命令，如下图1所示IXPUB技术博客$wr9Aq)A+hMP

图1

IXPUB技术博客l)Q2`+h4U)d)yX LrBSU

这就在一定程度上保护了浏览器和系统的安全。IXPUB技术博客,e{6LI)_)ibt

:v9} r[HLc9Z%T0下面说一下此插件的安装和具体使用：

Uo w2w,r9s ]^,s%U0IXPUB技术博客-Sat#`apa}/e

安装

q_B}h$`)W9]0

/ET[v5jWJR)Q)O*a0首先从http://noscript.net/下载此插件。然后，找到存放它的文件夹，再打开火狐狸浏览器，将noscript文件拖放到浏览器的窗口中，如下图2：

;E
fy^:M'@3h#MK@0IXPUB技术博客-q'v0H3Z$n(Sp

图2

lY:Z1UMS0IXPUB技术博客#_2l_*N*I3g,V

这时会出现下图3所示的对话框，系统询问我们是否安装此插件：IXPUB技术博客 {#cDP.`6t"V

图3

%]oj |2f&|[&l@L0我们当然信任它！单击“立刻安装”按钮,安装完成后，出现下图4:

,n)W W3gTG)r.B)o0

7q Q9L!R8Xi0

图4

IXPUB技术博客7| |i$ab

IXPUB技术博客*G
q*E)H9MA

按照提示重新启动Firefox,然后浏览器提示我们已经安装了新的插件。图5：

J_^F't~R0IXPUB技术博客RHn u'fw

图5

(^]3_LE%whxp0

D,iY;ikiU1dhB^'e0如果要对此插件进行配置，可单击“选项”按钮，打开如下图6所示对话框：IXPUB技术博客 V9T4h3^ B;^9ve

c4~
a,s8El
Cr1{*C0

图6

IXPUB技术博客,K_x0m0U |yv

/R)e2G1\-Qa(U0单击“白名单”选项卡，在此我们可以添加值得信任的网站，将其添加到“网址”下的列表框内，如下图7所示：

u|gkh#xpq'OUE$_0

^(Vt}:k~0

图7

IXPUB技术博客B!|I.T'?D6i|

IXPUB技术博客*K:gX;y GF!@

单击“外挂”选项卡，可看到下图8所示的对话框：IXPUB技术博客+|bfkI.I8?2Z

y|&DjsGp6~)t0

图8

v:W I;^%o*Ob%x0c0

(FU"l)z-B(d0在此，可设置对信任网站的一些额外限制。笔者觉得使用默认选项可极大地避免脚本攻击，故没有进行修改。读者可依次选择其它选项卡，对软件的功能作进一步配置。在此不再赘述。IXPUB技术博客D4? M0K~mL?

$g1f*_9GDR[+?0下面简单地说一下其应用：IXPUB技术博客!o$W+a yA#fC

K;zBWiL5D0在用安装了此插件的Firefox打开一个新的网站或网页时，默认情况下其脚本执行是被插件关闭的。如下图9所示：

1fl|b%ltk['B/p0IXPUB技术博客(c"z;BE
Ys4pm*uAm

图9

IXPUB技术博客twdA3F4@GR

IXPUB技术博客0}0M~gS\~tS

由上图可以看出，此插件关闭了51cto的脚本执行，如果用户希望打开其相关的脚本，可在浏览器的窗口内部右击，弹出快捷菜单，如图10：IXPUB技术博客Y)[9g$W2u{9y"j~4R}G

g*~v$}6W-N4^0

图10

&i/]
P'V nt0IXPUB技术博客f O2Pys}Og:Zm$N

选择“NoScript”菜单命令，会看到下图11:

/w,AG'wyY0IXPUB技术博客7SHP7C/B2dPz

图11

IXPUB技术博客;\%Q9Sk*W%me

2m"X&P7[7v8O~|8js0单击“允许51cto.com”将打开此站点的脚本执行。当然，根据情况，用户可以选择其它的菜单命令，如“全面允许本页物件（A）”等。

B2W9E
v:Y+sz0

nMz;mF0无疑，正确使用此插件可以帮助普通用户杜绝危险脚本。特别是使用火狐狸浏览器的用户可以试一试。IXPUB技术博客A*n{8LO5V