.net - Silverlight 安全吗？

Question

我们需要一个在最终用户的计算机上运行并为我们提供分数结果的应用程序，并且我们需要结果准确(即不被篡改)。目前，Flash 和 Silverlight 之间存在着一场争论，看起来 Silverlight 将成为赢家。

除了认为最终用户计算机上的任何内容最终都必须被视为受到损害之外，攻击 SilverLight 应用程序有多难？我知道这取决于代码的编写方式等，我的问题实际上是攻击底层平台有多难。是否有任何文章介绍如何轻松地执行诸如引导 silverlight 应用程序和更改运行代码(或其他方法)之类的操作？我正在考虑类似缓冲区溢出攻击来插入其他可执行代码？

我还听说Flash应用程序很难攻击内存并执行任意代码。这是真的吗？

Answer 1

我的理解是 Silverlight 运行在称为 CoreCLR 的公共(public)语言运行时 (CLR) 版本上。与浏览器中运行的任何应用程序一样，主要的安全方案是防止恶意代码攻击应用程序的其他实例或用户计算机上的应用程序/数据。

您描述的这种情况与此不同，我想说，几乎没有采取积极措施来防止您的代码被劫持。具有足够知识的用户可以轻松地在汇编级别编辑代码。

您可以尝试通过以下方式减轻这些攻击:

• 防止访问复杂的调试工具(除非您控制客户端计算机，否则这是不可能的)。
• 为每个用户甚至每个 session 生成模糊或随机的 silverlight 代码。理论上，这可能会阻止用户共享黑客行为。如果您可以使代码超时，那么在 30 分钟后使其变得陈旧，就会使其变得更加困难。
• 减少应用程序中的逻辑量，并通过 Web 服务在服务器端提供它。

专家级攻击者攻击 Flash VM 中运行的应用程序就像攻击 Silverlight 一样容易。