国际评测排第一 深度揭秘360XP盾甲“坚挺”之谜

　　近日，亚洲知名安全咨询公司COSEINC发布了一份XP防护评测报告，检验安全软件能否有效保护失去微软支持的XP系统。参与测试的包括Avast、AVG、Avira、Bitdefender、Kaspersky以及来自中国的360安全卫士、金山毒霸以及腾讯电脑管家等八款主流的安全软件，360安全卫士“XP盾甲”以100%的漏洞拦截率排名第一，远远超出63.3%的平均水平。
　　在不久前国内进行的“XP挑战赛”中，360安全卫士“XP盾甲”同样是唯一没有被黑客攻破的安全产品。为什么360的XP盾甲相比其他安全软件更坚固？为了解释这个疑问，我们联系了360攻防实验室研究人员，从技术解析、防护理念以及产品策略等维度，全面剖析360XP盾甲如何有效保护没有补丁的XP系统。
　　沙箱不是万能的，没有沙箱是万万不能的
　　一些厂商曾表示XP挑战赛的“起点不公”，称自己的产品没有沙箱所以会被攻破。对此360董事长周鸿祎微博曾回应道：“此言论真可笑，沙箱是基础安全技术，不具备沙箱的安全产品就是残次品，就像汽车撞击安全比赛气囊本是标配，有的车技术差压根没装气囊，输掉比赛却反咬有气囊的车不该装气囊，这不是忽悠用户么”。
　　国际评测排第一 深度揭秘360XP盾甲“坚挺”之谜 国际评测排第一 深度揭秘360XP盾甲“坚挺”之谜
　　没有沙箱，就像汽车没有安全气囊
　　据介绍，苹果iOS之所以安全，就是因为每个应用程序都运行在自己独立的沙箱中，不同应用间相互隔离，对操作系统上的敏感数据访问也被限制。Google Chrome，还有新版Adobe的PDF Reader等都引入了沙箱，这样即使黑客通过网页或者文档成功利用漏洞并执行一些危险操作，这些操作过程也是被困在沙箱中的，无法对系统造成进一步损害。
　　安扬也认为，“有沙箱并不一定绝对安全，沙箱也可能被黑客利用系统内核漏洞穿透，但没有沙箱一定不是合格的安全软件。”在XP挑战赛上，360XP盾甲的隔离沙箱之所以没有被黑客攻破，除了沙箱实现相对完善以外，还因为有系统加固引擎对内核漏洞的保护，对沙箱形成了强有力的基础保障。
　　不过，XP系统上实现完整的沙箱防护其实并不容易。沙箱需要很多系统底层支持，但Windows平台很多安全机制都是Vista之后加入的，也就是说，在XP上实现完整的沙箱防护要先帮微软补全“地基”，这比在Win7、Win8中实现沙箱防护要困难得多，对安全厂商的技术也是个考验。而在XP挑战赛的三款产品中，只有360XP盾甲实现了沙箱防护。
　　360XP盾甲为XP系统提供安全“大补丸”
　　前面说到，Windows 操作系统具备的安全特性及防护技术，是随着操作系统的发展而不断进化和增强的。XP相比Win8.1就缺少了很多安全特性，这些安全特性能够很好的提升操作系统的安全性，使得操作系统不容易受到漏洞的攻击和影响。而360XP盾甲恰恰为XP补全了这些安全特性，全面应用在系统加固引擎和应用加固引擎中，让XP和IE6-8、Office2003这些失去微软安全更新支持的系统和软件更为坚固。
　　对于XP盾甲提供的安全防护技术，安扬进行了全方位的介绍：
　　1、DEP数据执行保护，这个安全特性使得攻击者存储在数据中的恶意代码无法执行，虽然XP SP2内核开始支持此特性，但是默认只对系统程序开启，且可以很容易地通过ret2lib的方式被恶意程序关闭，在新的操作系统中默认是不允许关闭的；
　　2、ASLR地址随机化，Vista开始支持此机制， 这个安全特性使得攻击者编写的恶意代码无法在用户系统上运行；
　　3、SEHOP，XP SP2就有了，但那时系统的很多库还不支持safeseh编译，所以直到vista才算真正有作用。它的作用是对SEH链条的完整性做防护和检查，防止通过覆盖SEH执行恶意代码；
　　4、Security cookie：用于防止栈溢出执行恶意代码，Win系统在Win8之前security cookie的随机数熵质量较低，且和模块加载时间相关，随机性不强，Security cookie+在模块加载时增强其cookie的熵质量，Win8开始有类似机制；
　　5、memory alsr：在内存中制造空洞，随机化内存分配，可以对抗heap spray，UAF漏洞利用等；
　　6、Null page protection：针对空指针引用型的内核漏洞做防御 Win8开始系统加入此机制；
　　7、anti stack pivot：防止通过ROP（面向返回的编程方式，用于对抗DEP）切换堆栈， Win8开发者预览版中曾加入，正式版本中取消；
　　8、vdm block：阻止调用存在大量漏洞的vdm组件， Win8开始加入；
　　9、KALSR：内核地址随机化，阻止用户态获取内核地址信息，防止内核漏洞攻击， Win8.1开始对ie，metro app加入；
　　10、anti-rop：防止ROP方式绕过DEP执行恶意代码。
　　360XP盾甲的这些安全特性加固了XP系统以及Office、IE浏览器的安全性弱点。同时可以看到，anti stack pivot和anti-rop这样的安全特性，在最新的Win8.1和苹果操作系统也不具备。可以说，在安装360XP盾甲后，XP系统相当于吃了一剂安全“大补丸”，再有漏洞黑客也难以利用。
　　业内知名技术大牛TK（tombkeeper）这样评价：“测试了360盾甲2.0，也就是此次XP挑战赛使用的版本。IE漏洞比之前更难利用，要使用很多技巧。内核保护上也有很多改进，连我当年的绝技NtSystemDebugControl都考虑到了。对内核漏洞也做了不少防御，但仍有没照顾到的地方。”
　　正如TK的评价，360XP盾甲在内核和应用软件保护上都有了很高的防护强度，但任何安全产品都难以避免会出现防护的短板。对此，360“补天”引擎则成为一道更灵活机动的防御屏障。
　　热补丁“补天引擎”成为机动保障部队
　　除沙箱和加固引擎外，热补丁（hotfix）也是360XP盾甲的重要组成部分。提到热补丁，暴雪的游戏玩家们其实都不陌生，就是在线修正，游戏不中断，服务器不维护，游戏中的一个bug就被修正了。而热补丁这种方式，也被应用在防御黑客漏洞攻击中。
　　360XP盾甲的“补天热补丁引擎”作为快速响应机制，能够在不修改操作系统文件的前提下，针对漏洞的原因进行快速修复，快速部署和应用防护方案。
　　也就是说，当一个XP漏洞出现时，360能够第一时间研究并制作出防御方案，并通过XP盾甲使XP用户获得防御能力。迄今为止，360已经为微软0day漏洞提供过20个热补丁。
　　有了沙箱隔离防护、应用加固、系统加固和热补丁“补天”，可以说，360XP盾甲的四大引擎已经组合成难以突破的纵深防御体系。从防护技术的应用来看，360XP盾甲也是国内唯一真正具备未知漏洞防护能力的安全产品。