RSS阅读中潜在的安全问题
Monday, October 24th, 2005 | Around the Web
正如广告资源总是跟随着人们的注意力转移而转移一样，各种Spam以及恶意代码也同样在追随着网络用户注意力的变动。当RSS阅读逐渐开始变得流行起来，恶意代码也盯上了RSS这种新兴的阅读方式与阅读工具。
上周在GreatNews的用户论坛上，就有一位用户提出希望GreatNews增加恶意代码过滤功能，因为他所订阅的RSS就受到恶意代码的滋扰。
我订阅的一个RSS链接,一直好好的,但是今天查看这个频道时,莫名其妙的跳转到了hxxp: //mtv.5522.com/music/index.htm 这种垃圾网站,不知又是哪一个乱发垃圾广告的SB申请了Blog,被RSS收录了,原本这一类的都是发一堆的文字链接,这个到是好,升级了,点都没点就直接去了,靠!
从Temp里找到了源文件,分析了一下,用的方法是嵌入脚本<script src="http://flash.5522.com/ads/dvd.js”></script>脚本里再跳转到那个SB网站.不知GN能不能加一个脚本屏蔽功能?
虽然现在Feed中的恶意代码还没有泛滥，但已经有恶意网站发现了这块有潜力的新领域，利用在RSS中内嵌Javascript和activeX而达到自动跳转或者其他的功能，甚至是植入病毒或木马，在RSS阅读器中添加恶意代码过滤的功能已经成为对RSS阅读器的新要求。
通过订阅一个专门用于RSS阅读器安全性检测的Feed（本订阅内容含有不良代码，请慎重订阅，不过它并不会对你的电脑造成重大不利影响），可以发现有不少客户端RSS阅读器并没有过滤器中的不良代码，可见RSS中潜在的安全问题还没有引起大家的重视，不过FeedDemon和GreatNews(build 339)都可以通过安全性测试。
在线RSS阅读器的情况稍好，在我测试的Rojo、Bloglines、Gougou和Boyue四个中外在线RSS阅读器中，只有Boyue有提示js被执行，存在安全性问题，而其余的三个阅读器都不会执行其中内嵌的js。但另一方面，其中只有bloglines的内容显示比较正常，显示出10篇文章，而Rojo中根本显示不出任何内容，Gougou/Boyue中都只显示一篇文章，而该RSS中实际包含12篇文章。可见虽然主要的在线RSS阅读器都限制了恶意代码的执行，但可能并非专门针对RSS中的内置恶意代码进行过滤，因此显示出来的过滤效果存在问题。
原本纯洁、方便，无需受闪烁的广告和恼人的插件影响的RSS阅读方式，不应像网页一样也成为恶意网站肆虐的地方，无论是在线还是客户端的RSS阅读器都应该开始重视这个潜在的安全问题，不要让普通网民不知不觉中又成为恶意网站的俘虏。
4 Comments to RSS阅读中潜在的安全问题
收到测试feed，正在和技术人员商量是否有更好地解决办法。
testOctober 25, 2005
技术上是小问题而已，不用大惊小怪
wikiOctober 26, 2005
听说导致中文维基被封的就是这个词条
http://spaces.msn.com/members/laoyao91/Blog/cns!1pkqqnndvkxpVrOOyMAyPMcQ!362.entry
November 2, 2005
[...] 1、增加了RSS中包含的恶意代码过滤功能，可以避免在RSS内容中嵌入的js被执行而对电脑造成的潜在安全漏洞； [...]
October 25, 2005