浏览器扩展与插件安全

扩展（extension）和插件（plugin）通过与网页交互来丰富浏览器的用户体验。Firefox用户中，至少有1/3的用户安装了额外的扩展程序。虽然NoScript之类的扩展可以增强安全性，但不可否认的是还有许多插件并没有安全专家参与编写，许多插件几乎有和浏览器一样的权限，对攻击者来说，与其攻破浏览器，不如攻破规模相对较小的插件见效快。

常见的Adobe Flash Player、Adobe Reader、Java 插件的海量用户群体吸引了黑客的目光，黑客攻击插件不仅是因为用户量，这其中还有另一个重要原因：许多用户会及时更新浏览器，但是却不会主动更新浏览器插件。

2013年，Qualys对140万企业用户的调查发现39%的机器有可导致远程任意代码执行的漏洞。Google Chrome中约40%、Mozilla Firefox中约35%、IE中约41%都存在严重的安全问题。 

存在漏洞的浏览器比例分布：

但这些问题并不主要来自浏览器，80%的有漏洞的机器上浏览器都已经是最新版本。问题大部分都出在Adobe Flash Player及Oracle Java等浏览器插件上，正如我们之前所说，