26IE浏览器安全
课题名称： 应用程序安全 —— IE浏览器安全
课的类型： 授新课
教学目标： 学习并了解浏览器（HTTP）的工作原理，掌握IE浏览器的安全设置和修复方法
教学重点： IE浏览器的安全设置方法和修复方法
教学难点： IE浏览器的安全设置方法和修复方法
课时安排：2课时
教学方法：多媒体演示操作
教学过程：
一、浏览器工作原理
WWW是以Internet作为传输媒介的一个应用系统，WWW网上最基本的传输单位是 Web网页。WWW的工作基于客户机/服务器计算模型，由Web 浏览器(客户机)和Web服务器(服务器)构成，两者之间采用超文本传送协议（HTTP）进行通信。HTTP协议是基于TCP/IP协议之上的协议，是Web浏览器和Web服务器之间的应用层协议，是通用的、无状态的、面向对象的协议。HTTP协议的工作原理包括四个步骤：
1．连接：Web服务器首先创建一个 TcpListener对象，监听8080端口，一旦成功与Web浏览器与建立连接，就打开一个称为socket（套接字）的虚拟文件，此文件的建立标志着连接建立成功。
2．请求：Web浏览器通过socket向Web服务器提交请求。HTTP的请求一般是GET或POST命令（POST用于FORM参数的传递）。GET命令的格式为：
GET 路径/文件名 HTTP/1.0
文件名指出所访问的文件，HTTP/1.0指出Web浏览器使用的HTTP版本。
3．应答：Web浏览器提交请求后，通过HTTP协议传送给Web服务器。Web服务器接到后，进行事务处理，处理结果又通过HTTP传回给Web浏览器，从而在Web浏览器上显示出所请求的页面。
4．结束连接。
     
                        浏览器（HTTP）工作原理
举例：
买什么车好
假设客户机与:8080/mydir/index.html建立了连接，就会发送GET命令： GET /mydir/index.html HTTP/1.0。主机名为的Web服务器从它的文档空间中搜索子目录mydir的文件index.html。如果到该文件，Web服务器把该文件内容传送给相应的Web浏览器。
为了告知 Web浏览器传送内容的类型, Web服务器首先传送一些HTTP头信息，然后传送具体内容（即HTTP体信息），HTTP头信息和HTTP体信息之间用一个空行分开。
二、IE简介
1．第一个浏览器
打开IE → 帮助 → 关于Internet Explorer ，就会发现IE并不是微软家族的原创作品，而是伊利诺斯大学的超级计算机应用程序国家中心 (NCSA)于1993年开发的，那时它叫NCSA Mosaic，是基于X-Windows的浏览器，它就是微软IE、网景以及众多其他网页浏览器的鼻祖。
2．IE 1.0
    1995年8月，微软发布了Microsoft Ineternet Explorer 1.0，只是NCSA Mosaic的简单修改版。没有增加什么新的特性，不支持Java，不支持插件，浏览速度也很慢。
3．IE 2.0 —— 惨烈的竞争
1996年的珍珠港事件纪念日，Microsoft宣布调整公司的Internet战略:要为用户提供更好，更快，并且"永远免费的IE浏览器" IE 2.0，它还支持Mac,WIN31，WinNT操作系统。用以打击Netscape浏览器最主要的产品线，微软开始了与网景的浏览器之战。
4．IE3.0
1996年8月IE3.0正式版发布。这个版本提供了对HTML表格定制，框架以及更多HTML元素的支持，同时增加了对VB、脚本语言和阅读器的支持。此时IE的性能已经和Netscape3.0不相上下，而且对网景而言最可怕的是微软实现了他的承诺:完全免费。
当年市场调查结果表明，IE的市场份额已经从8%狂升到30%，虽然这个数据可能有点水份，不过从我的e家无线路由器设置IE的表现来看可信度还是挺高的。Netscape虽然急得跳脚却也无可奈何。
5．IE4.0
1997年10月IE4.0正式版发布，并成功躲避法律限制与Windows 98操作系统进行捆绑发售。
98年1月份，Netscape浏览器终于顶不住竞争压力，宣布向用户免费提供Netscape软件，并将所有Netscape浏览器原始代码都送给了开源社区，同时协助他们成立了非盈利性的组织Mozilla Foundation(Mozilla基金会)。
6．Mozilla FireFox(火狐)浏览器
  Mozilla基金会在Netscape源代码基础上开发出Molilla Firefox浏览器，虽然几年前FireFox还是浏览器中的少数派，但如今已成长为能与IE正面角力的浏览器新秀，成为浏览器领域中削弱IE市场份额的中坚力量。随着版本的交替与功能更新、新插件的加入，如今俨然已成为新一代浏览器的代名词。 
7．展望
    在短短的十几年间浏览器领域为我们上演了一场让人心潮澎湃、波澜壮阔的攻坚战，昔日的王者已不复当年的勇猛，后来居上的新秀还在争夺互联网的未来。当我们的习惯被IE牢牢掌控的时候，当我们把NCSA Mosaic、Netscape(网景)逐渐淡忘的时候，你是否会期待着微软会再次带给我们新的惊喜呢?
  然而源自Mocaic浏览器的IE代码始终拥有太多的缺陷和漏洞，就象一个年久失修的旧房子，已经不堪重负。于是微软就有了重新研发新一代浏览器的打算，那就是大家所期待的IE7.0了。
三、IE的严重漏洞
1．  info.westpower/cgi-bin/GInfo.dll?DispInfo&w=westpower&nid=471164
2．  www.itdoor/pages/93,33442,1,1127123012.html
3．  www.pcworld/how_to_use/1/2006/0317/4437.shtml
4．  htarget/38/1932038.shtml
5．  www.wzsyz/ReadNews.asp?NewsID=245
6．  htarget/5/2141005.shtml
7．  edu.itbulo/200603/90201.htm
8．  db.kingsoft/c/2003/11/10/99850.shtml
9．  tech.sina/s/s/2004-12-18/0911479048.shtml
10． tech.163/05/0929/08/1UQA5DC6000915B2.html
四、IE浏览器安全性能在线测试
打开网页bcheck.scanit.be/bcheck/，选择Run all available tests，对所有的34个漏洞进行检测，然后选择Start the test开始测试。
五、提高IE浏览器安全性的设置方法
1． 安装并使用最新的IE，并及时打上所有的补丁。
2． 删除Cookie：删除C:\Documents and Settings\fisherman\Cookies文件夹下所有的文件，也可以使用防火墙进行限制。
3． 禁用自动完成功能：打开IE → 工具 → Internet 选项 → 内容 → 自动完成 → 取消自动完成功能应用于内的所有选项。
4． 删除脱机内容：打开IE → 工具 → Internet 选项 → 常规 → 删除文件 → 删除所有脱机内容。
5． 关机时删除临时文件和历史记录：打开IE → 工具 → Internet 选项 → 高级 → 在安全区域选择关闭浏览器时清空Internet临时文件夹和清除历史记录 。
7． 屏蔽ActiveX控件：打开IE → 工具 → Internet 选项 → 安全 → 入学年龄自定义级别 → 在安全设置对话框中到相应的ActiveX控件并加以禁用。
8． 禁止访问受限站点：打开IE → 工具 → Internet 选项 → 安全 → 受限制的站点 → 站点 → 逐个将不受欢迎的站点添加进去。
六、用控制台(MMC) 和“组策略”提高IE浏览器安全性
1．启动控制台加载“组策略”：开始 → 运行 → 输入mmc →如何学习购买基金 确定 → 夜书所见 古诗文件 → 添加/删除管理单元 → 添加 → 组策略 → 添加 → 完成 → 确定。
               
2．在“计算机配置”中设置IE
本地计算机策略 → 计算机配置 → 管理模板 → Windows组件 → Internet Explorer  →　双击禁用Internet Explorer组件的自动安装 → 已启用 → 确定。
3．在“用户配置”中设置IE
通过“本地计算机策略”的“用户配置”子项，可以在两个方面为IE浏览器进行策略设置：“Windows设置”中的“Internet Explorer维护” 主要进行显示界面和IE浏览器的常规设置(和设置IE浏览器的属性类似)，设置方法和上面提到的方法不同，它是通过交互的方式完成的；“管理模板”下“Windows组件”中的“Internet Explorer”中可以设置使用浏览器时所涉及到的安全方面的策略，包括对用户可以使用或更改的菜单、工具栏、控制面板以及认可的控件等进行限制使用，策略设置和在“计算机配置”中IE浏览器策略设置的操作相同。
  通过以上的介绍，相信大家对IE浏览器进行高级设置的方法有了一个大概的了解。在使用控制台和组策略对IE浏览器进行策略设置时要注意以下几点：
  ① 必须以管理员或管理员组成员的身份登录。
  ② 计算机配置中设置的策略级别要高于用户配置中的策略级别。
③ 要恢复IE浏览器的原始配置，必须使用控制台和组策略对IE浏览器的策略进行重新设置。
七、IE修复
1．篡改IE标题栏
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Window Title
运行注册表编辑器，将上面两个子键的键值修改为“Microsoft Internet Explorer”(IE默认值)或者你喜欢的键值，比如“我的专用浏览器”这样体现个性的标题，重新运行即可。
2．篡改IE起始页
  修改HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page的键值为“about blank”或者你喜欢的一个站点的地址。
对于死缠烂打的顽固站点也可以修改
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run
将registry．exe子键删除，然后删除自运行程序c:\Program ，最后从IE选项中重新设置起始页。
3．篡改IE起始页的默认页
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
展开上面的子键，将“Default_Page_UR”子键的键值中的那些被篡改的网址改掉或者设置为IE的默认值。
4．篡改IE默认的搜索引擎
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant
展开上面的子键，将“CustomizeSearch”和“SearchAssistant”的键值改为某个搜索引擎的网址即可。
5．篡改IE右键菜单
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\欢迎访问……
删除上述主键在“MenuExt”下的“欢迎访问……网站”等相似内容的键值。在删除之前可以展开这个主键看一下，在这里面有一个链接打开一个HTML文件的子键，看看这个文件路径，然后根据路径将这个文件也删除(注意，这个HTML文件被设置了隐藏属性，从菜单选择“查看/文件夹选项/查看页/显示所有文件”即可看见它啦！)，这样才彻底清楚干净。
6．系统启动时弹出对话框
  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Winlogon\LegalNoticeCaption
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Winlogon\LegalNoticeText
怎么查询社保缴费记录  依次展开上述主键，将“LegalNoticeCaption”和“LegalNoticeText”主键删除即可。
提示：
当不清楚注册表被修改了哪个子键的时候，可以进入注册表编辑器，然后按F3键查篡改网站的网站名或者网址，当到后可以删除或修改相应键值，然后再按F3键查下一个，直到将它们全部清理干净。
课堂总结
本次课主要讲解了HTTP的工作原理，要求同学们掌握IE浏览器的安全设置方法和修复方法，并能根据具体要求进行灵活的设置。
参考工具：cn.zs.yahoo/iefix01.htm?source=hpad_icon_iefix01

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。