【IT168 专稿】根据近期来自CanSecWest安全会议的消息，一名安全专家在大会上表示， JavaScript代码已经变成了黑客攻击的一个关键部分，攻击者们也在javascript上投入了更多的精力，他们通过采用障眼法和其他技术，使防护者利用反向工程学知识检测恶意代码的困难加大。

    病毒防护公司Arbor Network的首席安全工程师Jose Nazario表示，攻击者已经采取了类似的技术来隐藏某些恶意代码的意图，诸如将恶意代码打散并分成好几部分，然后对其使用特殊的编解码，从而使恶意JavaScript代码的功能对用户来说更加模糊化。他还表示，其他方面提高还包括增加了旨在检测在一个虚拟机上尝试调试或运行这些JavaScript代码的行为。

    “将有许多防御性的JavaScript代码出现，”Nazario告诉参会者，“攻击者现在将可以屏蔽告警信息，并会屏蔽各种检测程序。他们还将经常只允许某一个IP地址来下载这些JavaScript代码。”

    一年前安全专家就发出警告称，采用了JavaScript和交互式Web技术的用户在线档案信息和数据，可能成为未来蠕虫病毒散播的另一种新的主流方式，就像在2005年感染了MySpace的Samy蠕虫病毒。

    2005年10月，年仅19岁的Samy Kamkar发起了对MySpace.com的攻击，他所利用的技术正是Web 2.0网站依赖的AJAX。通过利用MySpace.com中的漏洞，Samy Kamkar的蠕虫在几个小时内就在其好友列表中加入了100万好友，并在每个人的自我简介后边加了一句话：“不过最重要的是，Samy是我的英雄。”

    现在越来越多的网站开始使用AJAX（异步JavaScript和XML）技术，用其来共享数据或增强网站的交互性，这种情况加剧了这一威胁的程度。

    在过去的2006年，使用JavaScript和AJAX编写恶意软件已经从一个有意思的研究课题变为一个互联网安全面临的重大威胁，日益频繁的被黑客用来危机用户计算机的安全。

    在今年二月份，安全公司Websense的安全研究工作人员发现，迈阿密的海豚体育场（Dolphin Stadium）的网站上发现了一些恶意代码，在这个网站的头文件含有恶意JavaScript代码文件，一旦浏览者访问网站，他将利用两个已知的连个微软安全漏洞来下载和执行恶意代码。