在計(jì)算機(jī)上安裝了防火墻之后就可以保護(hù)我們免于受到所有網(wǎng)絡(luò)攻擊，事實(shí)果真如此嗎？

常規(guī)論調(diào)

防火墻可以監(jiān)聽(tīng)所有的網(wǎng)絡(luò)流量，阻擋沒(méi)有經(jīng)過(guò)安全端口進(jìn)入計(jì)算機(jī)中的數(shù)據(jù)包。因此，防火墻可以幫助我們阻止一切網(wǎng)絡(luò)攻擊。

技術(shù)事實(shí)

防火墻通過(guò)監(jiān)聽(tīng)網(wǎng)絡(luò)端口保護(hù)系統(tǒng)。端口就像一道道門(mén)，負(fù)責(zé)控制、組織和引導(dǎo)進(jìn)出系統(tǒng)的網(wǎng)絡(luò)流量。為了阻止非法的數(shù)據(jù)包進(jìn)入系統(tǒng)，防火墻基本上會(huì)關(guān)閉所有的端口，從而保證數(shù)據(jù)包只能通過(guò)被明確批準(zhǔn)的端口。例如，眾所周知的80端口負(fù)責(zé)傳輸所有的HTTP數(shù)據(jù)包，它必須時(shí)刻為瀏覽器打開(kāi)，否則我們就完全沒(méi)有辦法瀏覽任何網(wǎng)頁(yè)，然而這正是防火墻面臨的最大隱患。

攻擊者可以使用這種永久打開(kāi)的端口侵入系統(tǒng)。其中，被利用最多的一個(gè)“技巧”就是跨站腳本攻擊（Cross Site Scripting）。它通常會(huì)選擇一個(gè)用戶允許執(zhí)行腳本命令的“無(wú)辜”網(wǎng)站發(fā)起攻擊。例如，攻擊者只需要在一個(gè)小小的廣告中加入JavaScript代碼，就可以通過(guò)這些惡意代碼獲取用戶存儲(chǔ)在Cookies文件中的個(gè)人賬戶數(shù)據(jù)等信息。攻擊者獲得這些信息后就可以侵入這些用戶的網(wǎng)銀、郵箱等賬戶，對(duì)于沒(méi)有直接利用價(jià)值的賬戶信息，攻擊者還會(huì)將其售賣給非法廣告商。對(duì)于普通用戶而言，防止這樣的攻擊是比較困難的，如果我們因此禁止瀏覽器執(zhí)行JavaScript代碼，那么大部分網(wǎng)頁(yè)將無(wú)法正常顯示，這無(wú)疑會(huì)得不償失。因此，我們只能寄希望于各大網(wǎng)站的管理員對(duì)自己的網(wǎng)站安全性進(jìn)行良好的維護(hù)，并且盡量不訪問(wèn)可能被植入惡意代碼的無(wú)名小站。

除了上面提到的跨站腳本攻擊之外，還有其他的攻擊方式可以滲透軟件防火墻。目前，大量的網(wǎng)絡(luò)攻擊者使用email附件、下載的軟件或者視頻文件傳播惡意軟件，或者直接攻擊防火墻本身，通過(guò)合法的網(wǎng)絡(luò)協(xié)議漏洞建立非法數(shù)據(jù)隧道，甚至修改防火墻配置來(lái)入侵系統(tǒng)。然而，注重安全的用戶依然可以通過(guò)盡量訪問(wèn)可信任的網(wǎng)站和使用安全軟件有效地為自己提供保護(hù)。因此事實(shí)非常清楚，防火墻不是萬(wàn)能的，我們需要有良好的上網(wǎng)習(xí)慣和安全意識(shí)。

防火墻可以保證安全

常見(jiàn)的網(wǎng)絡(luò)攻擊通過(guò)尋找開(kāi)放的端口向計(jì)算機(jī)中滲透惡意程序。只要配置正確，防火墻在這種情景中是有效的。

防火墻無(wú)法保證安全

許多攻擊使用始終處于開(kāi)啟狀態(tài)的端口（比如負(fù)責(zé)HTTP訪問(wèn)的80端口）繞開(kāi)防火墻。