在不久前国内进行的“XP挑战赛”中，360安全卫士“XP盾甲”同样是少有没有被黑客攻破的安全产品。为什么360的XP盾甲相比其他安全软件更坚固?为了解释这个疑问，我们联系了360攻防实验室研究人员，从技术解析、防护理念以及产品策略等维度，全面剖析360XP盾甲如何有效保护没有补丁的XP系统。
沙箱不是全面的，没有沙箱是万万不能的
一些厂商曾表示XP挑战赛的“起点不公”，称自己的产品没有沙箱所以会被攻破。对此360董事长周鸿祎微博曾回应道：“此言论真可笑，沙箱是基础安全技术，不具备沙箱的安全产品就是残次品，就像汽车撞击安全比赛气囊本是标配，有的车技术差压根没装气囊，输掉比赛却反咬有气囊的车不该装气囊，这不是忽悠用户么”。
没有沙箱，就像汽车没有安全气囊
据介绍，苹果iOS之所以安全，就是因为每个应用程序都运行在自己独立的沙箱中，不同应用间相互隔离，对操作系统上的敏感数据访问也被限制。Google Chrome，还有新版Adobe的PDF Reader等都引入了沙箱，这样即使黑客通过网页或者文档成功利用漏洞并执行一些危险操作，这些操作过程也是被困在沙箱中的，无法对系统造成进一步损害。
安扬也认为，“有沙箱并不一定优异安全，沙箱也可能被黑客利用系统内核漏洞穿透，但没有沙箱一定不是合格的安全软件。”在XP挑战赛上，360XP盾甲的隔离沙箱之所以没有被黑客攻破，除了沙箱实现相对完善以外，还因为有系统加固引擎对内核漏洞的保护，对沙箱形成了强有力的基础保障。
不过，XP系统上实现完整的沙箱防护其实并不容易。沙箱需要很多系统底层支持，但Windows平台很多安全机制都是Vista之后加入的，也就是说，在XP上实现完整的沙箱防护要先帮微软补全“地基”，这比在Win7、Win8中实现沙箱防护要困难得多，对安全厂商的技术也是个考验。而在XP挑战赛的三款产品中，只有360XP盾甲实现了沙箱防护。
360XP盾甲为XP系统提供安全“大补丸”
前面说到，Windows 操作系统具备的安全特性及防护技术，是随着操作系统的发展而不断进化和增强的。XP相比Win8.1就缺少了很多安全特性，这些安全特性能够很好的提升操作系统的安全性，使得操作系统不容易受到漏洞的攻击和影响。而360XP盾甲恰恰为XP补全了这些安全特性，全面应用在系统加固引擎和应用加固引擎中，让XP和IE6-8、Office2003这些失去微软安全更新支持的系统和软件更为坚固。
对于XP盾甲提供的安全防护技术，安扬进行了全方位的介绍：
1、DEP数据执行保护，这个安全特性使得攻击者存储在数据中的恶意代码无法执行，虽然XP SP2内核开始支持此特性，但是默认只对系统程序开启，且可以很容易地通过ret2lib的方式被恶意程序关闭，在新的操作系统中默认是不允许关闭的;
2、ASLR地址随机化，Vista开始支持此机制, 这个安全特性使得攻击者编写的恶意代码无法在用户系统上运行;
3、SEHOP，XP SP2就有了，但那时系统的很多库还不支持safeseh编译，所以直到vista才算真正有作用。它的作用是对SEH链条的完整性做防护和检查，防止通过覆盖SEH执行恶意代码;
4、Security cookie：用于防止栈溢出执行恶意代码，Win系统在Win8之前security cookie的随机数熵质量较低，且和模块加载时间相关，随机性不强，Security cookie+在模块加载时增强其cookie的熵质量，Win8开始有类似机制;
5、memory alsr：在内存中制造空洞，随机化内存分配，可以对抗heap spray,UAF漏洞利用等;
6、Null page protection：针对空指针引用型的内核漏洞做防御 Win8开始系统加入此机制;
7、anti stack pivot:防止通过ROP(面向返回的编程方式，用于对抗DEP)切换堆栈, Win8开发者预览版中曾加入，正式版本中取消;
8、vdm block：阻止调用存在大量漏洞的vdm组件, Win8开始加入;
9、KALSR:内核地址随机化，阻止用户态获取内核地址信息，防止内核漏洞攻击, Win8.1开始对ie,metro app加入;
10、anti-rop：防止ROP方式绕过DEP执行恶意代码。
360XP盾甲的这些安全特性加固了XP系统以及Office、IE浏览器的安全性弱点。同时可以看到，anti stack pivot和anti-rop这样的安全特性，在较新的Win8.1和苹果操作系统也不具备。可以说，在安装360XP盾甲后，XP系统相当于吃了一剂安全“大补丸”，再有漏洞黑客也难以利用。
业内知名技术大牛TK(tombkeeper)这样评价：“测试了360盾甲2.0，也就是此次XP挑战赛使用的版本。IE漏洞比之前更难利用，要使用很多技巧。内核保护上也有很多改进，连我当年的绝技NtSystemDebugControl都考虑到了。对内核漏洞也做了不少防御，但仍有没照顾到的地方。”
正如TK的评价，360XP盾甲在内核和应用软件保护上都有了很高的防护强度，但任何安全产品都难以避免会出现防护的短板。对此，360“补天”引擎则成为一道更灵活机动的防御屏障。
热补丁“补天引擎”成为机动保障部队
除沙箱和加固引擎外，热补丁(hotfix)也是360XP盾甲的重要组成部分。提到热补丁，暴雪的游戏玩家们其实都不陌生，就是在线修正，游戏不中断，服务器不维护，游戏中的一个bug就被修正了。而热补丁这种方式，也被应用在防御黑客漏洞攻击中。
360XP盾甲的“补天热补丁引擎”作为快速响应机制，能够在不修改操作系统文件的前提下，针对漏洞的原因进行快速修复，快速部署和应用防护方案。
也就是说，当一个XP漏洞出现时，360能够领先时间研究并制作出防御方案，并通过XP盾甲使XP用户获得防御能力。迄今为止，360已经为微软0day漏洞提供过20个热补丁。
有了沙箱隔离防护、应用加固、系统加固和热补丁“补天”，可以说，360XP盾甲的四大引擎已经组合成难以突破的纵深防御体系。从防护技术的应用来看，360XP盾甲也是国内少有真正具备未知漏洞防护能力的安全产品。■
直播Y470和TF拆机
