java - 禁用文件打开和预览的文件浏览器是否可以免受在资源管理器中查看时运行的恶意软件的侵害？

Question

我正在用java制作一个自定义文件浏览器。我了解到这种蠕虫病毒，当在文件资源管理器中查看文件图标时，它就会开始执行。我相信，只有通过读取元数据之类的方式将其加载到内存中才有可能(如果我错了，请纠正我)。我听说 java 是一种“安全”语言，但只是想知道它有多安全。

我在我的程序中使用以下导入:

java.io.File;

java.net.URL;

java.nio.file.Path;

javax.swing.filechooser.FileSystemView;

我使用 fileSystemView.getFiles() 获取文件列表，并通过检查文件扩展名简单地显示一个图标。文件也不会被预览。

因此，如果我通过在文件浏览器中单击文件图标来禁止打开文件，那么当我的文件浏览器程序显示受感染的随身碟的内容时，有什么方法可以运行某些恶意软件吗？

其他编程语言也可以实现这一点吗？

Answer 1

您的问题有几个方面。

首先，关于通过在应用程序中单击文件而意外读取/执行文件的危险:我认为在没有实际看到您正在运行的代码的情况下很难回答这个问题。根据您的描述，我看不到任何明显的威胁，但话又说回来，当您标记文件、读取它所在的目录并读取文件本身时，我不知道您的 Java 运行时将为您做什么 -如果幕后没有发生“魔法”，可能就不会有问题。如果 Java 对文件进行任何类型的读取/解析/任何操作以注册和列出它，则很难说。

来自documentation for Class FileSystemView

Since the JDK1.1 File API doesn't allow access to such information as root partitions, file type information, or hidden file bits, this class is designed to intuit as much OS-specific file system information as possible.

我不太确定这到底意味着什么，但我将其视为访问文件时某些事情正在幕后发生的指示符。也许有更深入知识的人可以补充这一点。

现在，关于使用它来分析可能受感染的拇指驱动器:要非常小心。

当您将某些东西连接到 USB 时，它会在连接后立即自动执行“操作”(*)。这可能会在您启动 Java 应用程序之前很久就发生，因此您编码的安全程度并不重要。

有一些方法可以限制对 USB 的访问以及此类自动运行行为。您至少应该意识到并调查这一点，并确保在将任何可疑内容插入您的电脑之前，您拥有某种更新且有效的安全扫描程序。

<小时/>

(*) 甚至有一些例子，USB 设备可以通过提供(假的或真实的？)网络连接来从锁定的计算机中窃取信息，然后监听和操纵计算机通常在网络中不断进行的自动连接。背景。