馬上就到4月8日了。4月8日，微軟將停止針對Windows XP的更新服務。XP退休后，并不是XP系統(tǒng)無法再用了，而是指微軟將不再為XP系統(tǒng)曝出的安全漏洞提供更新補丁。這種未被修復的漏洞一般被稱為0day。
微軟停止對XP更新支持后，用戶將長期處于0day攻擊風險中，面臨最大的安全問題就是漏洞攻擊方面。漏洞本身是一種病毒傳播途徑，在漏洞的輔助下，病毒或黑客可輕易地繞過殺毒軟件，在用戶毫無察覺的情況下，傳播到用戶電腦中，從而破壞或遠程控制用戶電腦。打個比方，家里墻上有個洞，即使門鎖再堅固，小偷依然可以繞過門鎖從洞里進去偷東西。
近期，國內(nèi)外各大安全公司紛紛推出了專門針對XP系統(tǒng)的安全加固服務，都宣稱可以增強XP系統(tǒng)的安全性。那它們能有效防范XP系統(tǒng)漏洞攻擊嗎？下面我們選了幾個歷史上曾爆發(fā)過的影響廣泛的漏洞，在Windows XP系統(tǒng)上，對四款主流殺毒軟件做一個漏洞防護方面的效果測試。
IE/Office/PDF三個代表性漏洞
微軟對XP停止更新后，對XP平臺上的IE、Office等也會隨之停止更新支持。
如果Internet Explorer（IE）爆出新漏洞，或者第三方ActiveX存在緩沖區(qū)溢出等漏洞，黑客就可以發(fā)起漏洞利用攻擊。他們往往精心構造一個網(wǎng)頁，內(nèi)含漏洞利用攻擊代碼，然后將此網(wǎng)站URL鏈接發(fā)給網(wǎng)民。當網(wǎng)民使用IE訪問該網(wǎng)站時，病毒程序便會悄無聲息地下載到本機并執(zhí)行。
同樣，如果Office軟件存在安全漏洞，那么黑客可精心構造包含攻擊代碼的文檔文件，比如一個Excel表格，或者是一個Word文檔文件。當用戶打開該文檔文件時，便會被黑客攻擊，下載木馬病毒，從而控制或破壞用戶電腦。
另外一類比較常見的被黑客利用漏洞攻擊的軟件是PDF閱讀器，比如Adobe Reader。
這次的測試，我們便是選擇這三類最具代表性、最常被黑客所利用的軟件漏洞進行測試，測試環(huán)境是Windows XP SP3系統(tǒng)（未打后續(xù)安全補?。┮约癐E8、Office 2003、Adobe Reader 9.0。具體軟件版本及漏洞信息如下：
1. IE漏洞:
漏洞編號: CVE-2013-3893
測試軟件: Internet Explorer 8
2. Word漏洞
漏洞編號: CVE-2012-0158
測試軟件: Microsoft Word 2003
3. Adobe Reader漏洞:
漏洞編號: CVE-2009-0027
測試軟件: AdobeReader 9.0 English
漏洞攻擊方式
針對上述三類漏洞，我們分別搜集到三類漏洞測試樣本，樣本的行為是通過成功觸發(fā)漏洞，并利用漏洞下載運行病毒。為了更形象地展示漏洞攻擊及病毒運行情況，我們將該病毒設置為一個“計算器”程序。
如果該病毒“計算器”成功運行，那么，代表代表當前用戶的電腦被黑客攻擊成功，用戶電腦被病毒感染，殺毒軟件防護失敗；否則，代表殺毒軟件攔截成功。
附測試樣本下載鏈接：http://pan.baidu.com/s/1nt8uPSX
樣本包中，POC目錄為測試POC樣本。Runbin目錄為加密的計算器程序。
三種POC樣本會統(tǒng)一從http://www.misssnow.com/runbin.exe下載加密病毒到臨時目錄并執(zhí)行。測試的時候，需在本地構造http://www.misssnow.com/runbin.exe有效下載鏈接，建議可通過本地host文件配置有效url：www.misssnow.com指向下載服務器。并將runbin.exe放至下載服務器即可。
參與測試的四款殺毒軟件
1. 金山毒霸
軟件名稱: 金山毒霸
軟件版本:9.0.152449.8843
2. 360安全衛(wèi)士
軟件名稱:360安全衛(wèi)士加固版
軟件版本:9.6.0.1004
360安全衛(wèi)士
3. 卡巴斯基安全軟件
軟件名稱: 卡巴斯基安全軟件
軟件版本:14.0.0.4651
卡巴斯基安全軟件
4. 瑞星殺毒
軟件名稱: 瑞星殺毒軟件
軟件版本: 24.00.14.70
瑞星殺毒
為保證測試的可信性與公正性，所有測試均進行了錄像截屏，有興趣的可具體參看該視頻：
//v.qq.com/boke/page/o/o/s/o0127p6tcos.html
//v.qq.com/boke/page/a/2/d/a0127i8ao2d.html
//v.qq.com/boke/page/w/9/3/w0127v9ww93.html
//v.qq.com/boke/page/c/g/s/c01275y8ogs.html
測試結(jié)果概述：
根據(jù)測試結(jié)果，看出金山毒霸和卡巴斯基在漏洞攻擊防護方面做得比較好，都是全部攔截。
金山毒霸和卡巴斯基通過全部3個漏洞考驗
金山毒霸的攔截主要是基于攻擊行為方面的攔截，這和它們之前在網(wǎng)站上所宣傳的一樣，主要是針對一些漏洞攻擊手法的攔截。這樣做的最大好處就是對未知漏洞攻擊的有效攔截。Windows系統(tǒng)新的漏洞一直在被發(fā)現(xiàn)，被利用，但攻擊方法卻是千篇一律，一直是那些老方法，很少發(fā)生變化。對于XP當前的現(xiàn)狀，金山毒霸這種對于未知漏洞攻擊的攔截策略可以說是最實用的。
卡巴斯基主要是在0day樣本的查殺方面做得比較突出。對于三類漏洞利用攻擊，全部可在第一時間靜態(tài)查殺，防止病毒樣本運行，可見卡巴在0day樣本的靜態(tài)查殺方面做得比較完善。
360安全衛(wèi)士在IE方面做的也還算不錯，對于一些比較嚴重的漏洞進行了相應的熱補丁修復。通過對該漏洞進行有針對性的處理修復，從而防止漏洞被再次利用。這種屬于最典型的傳統(tǒng)漏洞防護方法，非常有效，但是同樣存在著致命的缺點：這種方法只在漏洞爆發(fā)后，已有大量用戶被攻擊后，才針對該特定漏洞進行的防護處理，缺乏通用性。在新的漏洞或者未被它們處理的漏洞被利用攻擊時，360是無法進行防護的。就像Word跟PDF的漏洞，就成功繞過了360的防護。
瑞星殺毒在IE方面可以看到也做了一定的防護，可以看出跟360一樣，同樣是針對特定漏洞做的修復補丁。 但是，根據(jù)測試看來，瑞星對于CVE-2013-3893防護明顯存在bug，雖然彈泡提示攔截js，但病毒卻依然執(zhí)行了起來。另外，對于Word和PDF的防護，瑞星跟360一樣，在這方面，并未做過多的防護處理。
