輸入法作為每個(gè)用戶必備的組件，它存在于每部電腦中，并且用戶使用的頻率極高，因此自然成為很多黑客、木馬特別青睞的對(duì)象。比如蘋果公司就限制第三方輸入法進(jìn)駐iOS系統(tǒng)，主要就是因?yàn)檩斎敕O容易有漏洞。那么輸入法有哪些常見的漏洞，我們又應(yīng)該怎么進(jìn)防范？
小知識(shí)：Windows 2000著名輸入法漏洞
在Windows 2000登錄界面，切換至全拼輸入法狀態(tài)，如果此時(shí)選擇其中的“幫助”，在新彈出的選項(xiàng)里選擇“輸入法入門→輸入法操作指南→選項(xiàng)”，接著選擇“跳至URL”。此時(shí)將出現(xiàn)Windows 2000的系統(tǒng)安裝路徑和要求我們填入的路徑的空白欄，輸入“C:\Windowsnt\system32”即可跳過密碼直接進(jìn)入系統(tǒng)，這就是著名的Windows 2000輸入法漏洞。
因?yàn)檩斎敕ㄊ敲總€(gè)用戶必備的軟件，而且是唯一一個(gè)可以在系統(tǒng)登錄界面被調(diào)用的第三方組件，因此很多黑客都在盯著輸入法，試圖利用其漏洞入侵我們的系統(tǒng)。雖然自Windows 2000輸入法漏洞發(fā)生后，微軟已經(jīng)在系統(tǒng)進(jìn)行較為完善的改進(jìn)。不過除了系統(tǒng)因素外，輸入法本身的漏洞還是會(huì)給我們帶來極大的安全隱患。下面我們以“陳橋智能輸入法 6.6版”為例，在Windows 7下演示一下它的漏洞給我們帶來的風(fēng)險(xiǎn)。
日常操作中，很多人在離開電腦一段時(shí)間時(shí)，經(jīng)常會(huì)將系統(tǒng)鎖定以免他人使用。不過在用戶已經(jīng)登錄系統(tǒng)后，電腦上安裝了上述版本的陳橋輸入法，那么在鎖定界面仍然可以調(diào)用陳橋輸入法。而陳橋輸入法又可以調(diào)用其他輸入法組件，比如在輸入法狀態(tài)欄右擊選擇“數(shù)據(jù)管理”，這樣就會(huì)調(diào)用默認(rèn)路徑下的“C:\chenghu2\CHENZNWB.EXE”（圖9）。
圖9 右擊狀態(tài)欄調(diào)用程序漏洞
上述操作在用戶鎖定界面仍然可以實(shí)現(xiàn)，正是這個(gè)漏洞會(huì)給我們系統(tǒng)帶來安全隱患。如果有不懷好意的人將CHENZNWB.EXE替換為其他程序如CMD.exe，這樣他就可以在鎖定界面進(jìn)入我們的系統(tǒng)了。
假設(shè)我們已經(jīng)將CMD.exe改名為CHENZNWB.EXE并放置在上述目錄，現(xiàn)在在Windows 7鎖定界面隨便輸入幾個(gè)字符登錄，在系統(tǒng)提示用戶密碼錯(cuò)誤時(shí)，點(diǎn)擊屏幕左上角輸入法圖標(biāo)切換到“陳橋輸入法”。繼續(xù)輸入任意幾個(gè)字符調(diào)出輸入法狀態(tài)欄，同上右擊選擇“數(shù)據(jù)管理”，這樣即可在登錄界面調(diào)出命令提示符界面。由于此時(shí)登錄的是系統(tǒng)內(nèi)置的SYSTEM賬戶，它擁有極高的操作權(quán)限，按提示輸入下列命令即可添加管理員賬戶（圖10）：
Net user cfan1 123456 /add
net localgroup administrators cfan /add
這樣我們即可在當(dāng)前系統(tǒng)下新增一個(gè)名為cfan1的系統(tǒng)管理員賬戶，返回登錄界面即可使用這個(gè)賬戶進(jìn)入你的系統(tǒng)了。
圖10 在鎖定界面添加管理員賬戶
扎好籬笆——保護(hù)輸入安全
文|俞木發(fā)
從前面的文章可以看出，輸入法漏洞會(huì)給系統(tǒng)帶來極大的安全問題。除此之外，很多輸入法還爆出其他安全隱患，比如搜狗輸入法漏洞會(huì)泄漏用戶隱私信息，QQ輸入法在Windows 8下的提權(quán)漏洞，智能ABC輸入法漏洞可以可以終止電腦任意進(jìn)程等。雖然這些漏洞已經(jīng)被修復(fù)，但是誰都不能保證其他輸入法還會(huì)不會(huì)有類似的漏洞，為了保護(hù)系統(tǒng)和輸入安全，及時(shí)解決輸入法漏洞帶來的危害，我們應(yīng)該采取如下安全措施。
及時(shí)升級(jí)輸入法
最簡單的方法是用好輸入法的自動(dòng)升級(jí)功能，這樣舊版漏洞可以及時(shí)進(jìn)行修復(fù)。比如搜狗輸入法，只要進(jìn)入設(shè)置界面切換到“高級(jí)”，然后在“升級(jí)選項(xiàng)”下設(shè)置為“自動(dòng)升級(jí)”即可（圖11）。
圖11 設(shè)置輸入法自動(dòng)升級(jí)
盡量使用知名輸入法
并且不要輕易將第三方輸入法設(shè)置為默認(rèn)輸入法。一些小公司的輸入法軟件不可避免地存在各種漏洞，使用知名公司輸入法可以有效避免各種漏洞的存在。此外不要貪圖使用方便，將第三方輸入法設(shè)置為默認(rèn)輸入法，如果使用系統(tǒng)默認(rèn)設(shè)置，在登錄界面是無法調(diào)用第三方輸入法組件的，這樣可以杜絕黑客通過輸入法漏洞入侵我們系統(tǒng)的通道（圖12）。
圖12 選擇默認(rèn)的系統(tǒng)內(nèi)置輸入法作為默認(rèn)語言
關(guān)閉不必要的端口
大部分輸入法漏洞的攻擊都是借助3389這個(gè)老生常談的端口，因此對(duì)于那些平時(shí)不用的端口，特別是那些危險(xiǎn)性較大，又不常用的高危端口，如Telnet服務(wù)的23端口、FTP服務(wù)的21端口、SMTP服務(wù)的25端口、RPC服務(wù)的135端口等，建議將其關(guān)閉。
使用專用輸入法
在網(wǎng)銀、淘寶、在線支付輸入密碼時(shí)，盡量使用它們自帶的控件和軟鍵盤輸入。因?yàn)槟J(rèn)情況下，我們?cè)谳斎胭~號(hào)、密碼時(shí)，系統(tǒng)是通過輸入法管理器調(diào)用輸入法的轉(zhuǎn)換函數(shù)輸入字符的。
現(xiàn)在很多木馬可以利用鍵盤鉤子捕獲Windows鍵盤動(dòng)作，從而輕易知道你的賬戶名和密碼。網(wǎng)銀的安全控件則可以對(duì)鍵盤鉤子進(jìn)行有效的隔絕，而且軟鍵盤上字母和數(shù)字的排列是不規(guī)則的，并且每次都會(huì)隨機(jī)進(jìn)行變化，即使木馬捕捉到也是一堆無意義的編碼（圖13）。
圖13 建行網(wǎng)銀使用的軟鍵盤
小知識(shí)：網(wǎng)銀是如何保證輸入安全？
1、強(qiáng)制下載安全控件，只有安裝控件后密碼框才能輸入字符，控件能夠有效防止黑客及木馬病毒等竊取用戶輸入信息。
2、使用隨機(jī)排列字符實(shí)現(xiàn)字符的輸入，即使被木馬捕獲也不會(huì)泄漏實(shí)際輸入的字符。
3、服務(wù)器會(huì)實(shí)時(shí)對(duì)客戶輸入的密碼進(jìn)行增強(qiáng)加密，比如在中國移動(dòng)網(wǎng)站使用手機(jī)登錄時(shí)，我們輸入的密碼在提交到服務(wù)器驗(yàn)證的過程會(huì)被加密，如輸入123456，提交后密碼框會(huì)變?yōu)槎辔坏募用茏址▓D14）。
圖14 密碼字符在提交過程會(huì)被加強(qiáng)加密
發(fā)現(xiàn)好多網(wǎng)上下載的軟件常常標(biāo)有Beta版、Demo版等軟件版本信息，不懂的人不知道這里面的含義。這些版本信息實(shí)際上有其內(nèi)在的含義。下面我就將一些常見的軟件版本信息向大家做一詳細(xì)的介紹。
本人整理了一下
α版
此版本表示該軟件僅僅是一個(gè)初步完成品，通常只在軟件開發(fā)者內(nèi)部交流，也有很少一部分發(fā)布給專業(yè)測(cè)試人員。一般而言，該版本軟件的Bug較多，普通用戶最好不要安裝。
β（Beta）版
該版本相對(duì)于α版已有了很大的改進(jìn)，消除了嚴(yán)重的錯(cuò)誤，但還是存在著一些缺陷，需要經(jīng)過大規(guī)模的發(fā)布測(cè)試來進(jìn)一步消除。這一版本通常由軟件公司免費(fèi)發(fā)布，用戶可從相關(guān)的站點(diǎn)下載。通過一些專業(yè)愛好者的測(cè)試，將結(jié)果反饋給開發(fā)者，開發(fā)者們?cè)龠M(jìn)行有針對(duì)性的修改。該版本也不適合一般用戶安裝。
γ版
該版本已經(jīng)相當(dāng)成熟了，與即將發(fā)行的正式版相差無幾，如果用戶實(shí)在等不及了，盡可以裝上一試。
Trial（試用版）
試用版軟件在最近的幾年里頗為流行，主要是得益于互聯(lián)網(wǎng)的迅速發(fā)展。該版本軟件通常都有時(shí)間限制，過期之后用戶如果希望繼續(xù)使用，一般得交納一定的費(fèi)用進(jìn)行注冊(cè)或購買。有些試用版軟件還在功能上做了一定的限制。
Unregistered（未注冊(cè)版）
未注冊(cè)版與試用版極其類似，只是未注冊(cè)版通常沒有時(shí)間限制，在功能上相對(duì)于正式版做了一定的限制，例如絕大多數(shù)網(wǎng)絡(luò)電話軟件的注冊(cè)版和未注冊(cè)版，兩者之間在通話質(zhì)量上有很大差距。還有些雖然在使用上與正式版毫無二致，但是動(dòng)不動(dòng)就會(huì)彈出一個(gè)惱人的消息框來提醒你注冊(cè)，如看圖軟件ACDSee、智能陳橋漢字輸入軟件等。
Demo版
也稱為演示版，在非正式版軟件中，該版本的知名度最大。Demo版僅僅集成了正式版中的幾個(gè)功能，頗有點(diǎn)像Unregistered。不同的是，Demo版一般不能通過升級(jí)或注冊(cè)的方法變?yōu)檎桨妗?/p>
以上是軟件正式版本推出之前的幾個(gè)版本，α、β、γ可以稱為測(cè)試版，大凡成熟軟件總會(huì)有多個(gè)測(cè)試版，如Windows 98的β版，前前后后將近有10個(gè)。這么多的測(cè)試版一方面為了最終產(chǎn)品盡可能地滿足用戶的需要，另一方面也盡量減少了軟件中的Bug。而Trial、Unregistered、Demo有時(shí)統(tǒng)稱為演示版，這一類版本的廣告色彩較濃，頗有點(diǎn)先嘗后買的味道，對(duì)于普通用戶而言自然是可以免費(fèi)嘗鮮了。
正式版
不同類型的軟件的正式版本通常也有區(qū)別。
Release
該版本意味“最終釋放版”，在出了一系列的測(cè)試版之后，終歸會(huì)有一個(gè)正式版本，對(duì)于用戶而言，購買該版本的軟件絕對(duì)不會(huì)錯(cuò)。該版本有時(shí)也稱為標(biāo)準(zhǔn)版。一般情況下，Release不會(huì)以單詞形式出現(xiàn)在軟件封面上，取而代之的是符號(hào)(r)，如Windows NT(r) 4.0、MS-DOS(r) 6.22等。
Registered
很顯然，該版本是與Unregistered相對(duì)的注冊(cè)版。注冊(cè)版、Release和下面所講的Standard版一樣，都是軟件的正式版本，只是注冊(cè)版軟件的前身有很大一部分是從網(wǎng)上下載的。
Standard
這是最常見的標(biāo)準(zhǔn)版，不論是什么軟件，標(biāo)準(zhǔn)版一定存在。標(biāo)準(zhǔn)版中包含了該軟件的基本組件及一些常用功能，可以滿足一般用戶的需求。其價(jià)格相對(duì)高一級(jí)版本而言還是“平易近人”的。
Deluxe
顧名思義即為“豪華版”。豪華版通常是相對(duì)于標(biāo)準(zhǔn)版而言的，主要區(qū)別是多了幾項(xiàng)功能，價(jià)格當(dāng)然會(huì)高出一大塊，不推薦一般用戶購買。此版本通常是為那些追求“完美”的專業(yè)用戶所準(zhǔn)備的。
Reference
該版本型號(hào)常見于百科全書中，比較有名的是微軟的Encarta系列。Reference是最高級(jí)別，其包含的主題、圖像、影片剪輯等相對(duì)于Standard和Deluxe版均有大幅增加，容量由一張光盤猛增至三張光盤，并且加入了很強(qiáng)的交互功能，當(dāng)然價(jià)格也不菲。可以這么說，這一版本的百科全書才能算是真正的百科全書，也是發(fā)燒友們收藏的首選。
Professional（專業(yè)版）
專業(yè)版是針對(duì)某些特定的開發(fā)工具軟件而言的。專業(yè)版中有許多內(nèi)容是標(biāo)準(zhǔn)版中所沒有的，這些內(nèi)容對(duì)于一個(gè)專業(yè)的軟件開發(fā)人員來說是極為重要的。如微軟的Visual FoxPro標(biāo)準(zhǔn)版并不具備編譯成可執(zhí)行文件的功能，這對(duì)于一個(gè)完整的開發(fā)項(xiàng)目而言顯然是無法忍受的，若客戶機(jī)上沒有FoxPro將不能使用。如果用專業(yè)版就沒有這個(gè)問題了。
Enterprise（企業(yè)版）
企業(yè)版是開發(fā)類軟件中的極品（相當(dāng)于百科全書中的Reference版）。擁有一套這種版本的軟件可以毫無障礙地開發(fā)任何級(jí)別的應(yīng)用軟件。如著名的Visual C++的企業(yè)版相對(duì)于專業(yè)版來說增加了幾個(gè)附加的特性，如SQL調(diào)試、擴(kuò)展的存儲(chǔ)過程向?qū)А⒅С諥S/400對(duì)OLE DB的訪問等。而這一版本的價(jià)格也是普通用戶無法接受的。如微軟的Visual Studios 6.0 Enterprise中文版的價(jià)格為23000元。
其他版本
除了以上介紹的一些版本外，還有一些專有版本名稱。
Update（升級(jí)版）
升級(jí)版的軟件是不能獨(dú)立使用的，該版本的軟件在安裝過程中會(huì)搜索原有的正式版，如果不存在，則拒絕執(zhí)行下一步。如Microsoft Office 2000升級(jí)版、Windows 9x升級(jí)版等等。
OEM版
OEM版通常是捆綁在硬件中而不單獨(dú)銷售的版本。將自己的產(chǎn)品交給別的公司去賣，保留自己的著作權(quán)，雙方互惠互利，一舉兩得。
單機(jī)（網(wǎng)絡(luò)）版
網(wǎng)絡(luò)版在功能、結(jié)構(gòu)上遠(yuǎn)比單機(jī)版復(fù)雜，如果留心一下軟件的報(bào)價(jià)，你就會(huì)發(fā)現(xiàn)某些軟件單機(jī)版和網(wǎng)絡(luò)版的價(jià)格相差非常大，有些網(wǎng)絡(luò)版甚至多一個(gè)客戶端口就要加不少錢。
普及版
該版本有時(shí)也會(huì)被稱為共享版，其特點(diǎn)是價(jià)格便宜（有些甚至完全免費(fèi)）、功能單一、針對(duì)性強(qiáng)（當(dāng)然也有占領(lǐng)市場(chǎng)、打擊盜版等因素）。與試用版不同的是，該版本的軟件一般不會(huì)有時(shí)間上的限制。當(dāng)然，如果用戶想升級(jí)，最好還是去購買正式版。
以上是一些常見軟件版本的簡要介紹，隨著軟件市場(chǎng)行為的變化，現(xiàn)在也出現(xiàn)了一些新的版本命名方式，比如Windows XP中的XP是取自于Experience中的第二、第三個(gè)字母。希望以上內(nèi)容能夠?qū)Υ蠹业馁徺I、使用和下載軟件有所幫助。