|
中午跟女同事吵了两句 她直接甩出一把刀 然后 顺势削了个苹果 前言就在微软宣告在Excel中引入自定义JavaScript函数之后，一位安全研究人员开发出一种运用新方式，可以在Excel中加载CoinHive浏览器内JavaScript代码。 当微软宣告新的自定义JS函数时，没有人会认为它会被用于恶意操作。 然而几小时后，安全研究人员就想出了一种运用微软新功能，通过自定义JavaScript Excel函数加载CoinHive浏览器的方式。（大神的打脸总是这么自然、响亮） 潜在威胁需要注意的是，现在这只是一个概念验证，如果在Excel中运用自定义函数，首先需要将其作为加载项加载到Excel中。 所以在现在，这还不是一个可行的攻击选项。不过对于狡猾的攻击者而言，当他们投入精力去利用这种功能时，在某一天得到运用这种功能的自动化方式并不奇怪。
加载CoinHive自定义JavaScript函数创建三个文件，并将其储存在可访问的Web服务器上。这些文件是一个JS文件，其中包含自定义公式，加载JavaScript文件的html文件以及充当配置文件的JSON文件。 我们还需要创建一个XML文件，该文件作为清单，并由Excel在本地运用，将我们的自定义函数作为加载项加载。 当运用自定义JS公式时，Excel将创建一个隐藏的浏览器来加载各种文件，然后执行自定义JavaScript函数。在做到这一点之后，就可以很容易制作出自己的加载项，将CoinHive加载到这个隐藏的浏览器中。 研究人员表示，创建插件只花费了很少的时间，而且他从来没有添加任何内容或者写过一个excel宏，只花了大约一个小时得到它，然后预览下载。 糟糕的是，研究人员表示：
在Excel中测验矿工时，研究人员将其设置为运用50的阈值，这表明CoinHive利用计算机处理器功率的50％。 如下图所示，我们看到Microsoft Excel Web Content是运用CoinHive加载的隐藏浏览器，利用计算机的4个处理器的206％。
处理器利用率 总结由于创建自定义JavaScript函数很快且容易，因此在开发新攻击只是时间问题。 研究人员直言：
|
/1 
