| 尽管混乱的Java政治世界已经让我们厌烦，但是不可否认，Java依旧是最受关注的编程语言，Java的前景依旧被很多人看好，尤其是互联网巨头们：10月13日，Oracle和IBM这对老冤家宣布将在OpenJDK方面进行合作。这两家公司表示，它们要使OpenJDK社区成为开源软件“Java企业版”的主要开发阵地。两家公司的合作将集中在Java语言、Java开发工具和Java运行时间环境等方面。但是Java已经万无一失了吗？Java在各版本的更新及时吗？一名外国的开发者Michael Horowitz在自己的博客中告诉你：“Java不用就卸载吧！”全部译文如下： 我前两天曾写过一篇文章探讨了在计算机上安装Java的好处和不利影响，我并没有任何偏见，只是为了分享我的一点经验而已，任何将Java视为一杯咖啡的人都不应该在他们的计算机上安装它。 最重要的一点是，那些不怀好意的人喜欢利用旧版本Java中的漏洞在你的计算机上安装恶意软件，微软的Holly Stewart在她们的恶意软件保护中心博客上发文表示，Java漏洞利用达到了前所未有的频繁程度，微软发现的Java漏洞经常被利用，即使很久以前就发布了修复补丁，但很多人却置之不理。 Secunia公司发布的2010年上半年安全报告写道： “许多厂商提供的部署和更新机制非常有限，包括流行厂商在内，在很大程度上忽略了最终用户PC上的程序升级，粗暴地将问题甩给最终用户，大多数厂商没有采取切实有效的措施保护他们的用户，一般都会等到爆发大规模攻击时才会提供帮助，但殊不知这时行动会大大地影响到企业的声誉。” “通常，用户要么不知道升级，要么被复杂的升级过程和频繁程度所吓倒。从攻击者角度看，针对第三方程序的攻击被证明是一种有效的途径，并且被发现的几率很小，给黑客活动留下了充足的时间，因此逐渐成为攻击者的最爱，那些原以为给系统打上所有补丁就安全的用户大错特错，第三方软件的漏洞还未引起人们的足够重视。” 糟糕的是Oracle和微软未联手在Windows Update中包含Java更新，在Linux世界中，软件更新机制非常简单，就是一条规则，但这在Windows中是不可想象的。 Google在它的Chrome浏览器中嵌入了Flash和PDF阅读器，据说将来还会将Java也添加进来，这无疑是开放了一个更大的安全缺口。 在这份报告中，Secunia发现他们分析的计算机中89%都安装了Java，难怪有人会攻击它，正所谓树大招风。 攻击者使用Java作为他们的攻击目标另一个原因是，Java小程序是在Web页面中运行的，这就意味着浏览一个网页就有可能被感染，攻击者并不需要诱骗受害者打开附件或安装伪装的解码器。 我看过Java利用的一手资料，在我写完前一篇博客时，有人给了我一台已感染的Windows XP计算机，让我帮助清除其中的病毒和木马，根据ESET的在线病毒扫描结果显示，其中一个恶意程序叫做“Java/TrojanDownloader.Agent.NBU trojan.”，如下图所示。
ESET扫描结果显示，恶意软件位于C:\Documents and Settings\userid\Application Data\Sun\Java\Deployment\cache\6.0\文件夹，这台计算机安装了两个旧版本Java，可见未打补丁的Java是很容易被瞄上的。 |
