偶尔我（偶然）遇到我的反病毒警告我的网站。出于好奇，网站会造成什么样的破坏？
我已经在网络开发方面工作了大约4年，并且无法想到任何值得警告用户的“真正”损害。也许我错过了一些明显的东西，但主要操作系统实施的浏览器和基本安全措施肯定会阻止任何特别侵入的事情发生？
我说的是除了欺骗性的任何东西之外的威胁（网络钓鱼等）。可以对浏览器征税足以保证反病毒警告（即使用资源耗尽的javascript过载页面）？通常情况下，cookie，缓存和localstorage都有限制 - 所以我想不出那里会发生什么。
我怀疑这可能稍微偏离主题，因为它的技术特征不如我通常要求的那么具体。如果是这种情况，我会很高兴删除它。
答案 0 :(得分：1)
主要风险是遇到drive-by download。
驱逐下载不一定是通常意义上的文件下载，它可能是允许在您的系统上下载和执行可执行代码的浏览器漏洞（称为有效负载）。
一个例子是Microsoft Internet Explorer colspan Element Processing Arbitrary Code Execution Vulnerability：
Microsoft Internet Explorer包含可能允许的漏洞 未经身份验证的远程攻击者，可以执行任意代码 目标系统。
此漏洞是由于网络中元素处理不当造成的 页面。未经身份验证的远程攻击者可以利用此功能 欺骗用户查看恶意网站的漏洞。如果 成功，攻击者可以利用此漏洞执行 具有用户权限的系统上的任意代码。
此漏洞是由于不断更改的处理不当造成的 colspan在固定的表格布局中。如果colspan可以增加之后 初始化时，它可能会触发基于堆的缓冲区溢出。
但是，今年（2015年）在Flash Player中存在such as this个最新漏洞：
之前的13.0.0.269和14.x到16.x之前的Adobe Flash Player 16.0.0.305在Windows和OS X上以及Linux上的11.2.202.442之前允许攻击者执行任意代码或导致拒绝服务 （内存损坏）通过未指定的向量
来自网站的另一个攻击媒介可能是利用Cross Site Request Forgery等跨域攻击。这样的恶意网站可能会向您登录的其他网站发出后台请求。例如，它可能向https://facebook.com/delete_account发出AJAX请求（组成URL路径），当您登录Facebook时，您的浏览器将通过cookie并触发操作。也就是说，如果Facebook没有删除帐户功能的CSRF保护（我很确定它确实如此）。
跨域攻击的另一个例子是该网站可能正在尝试利用您使用的其他网站上的任何XSS漏洞。它可以重定向您的另一个站点并在您登录时捕获您的凭据，或者它可以做一些更偷偷摸摸的事情，比如在后台请求站点并抓住您的会话cookie。这要求目标站点包含这样的XSS缺陷。
答案 1 :(得分：0)
其中一个主要问题是，当您访问网站时，它可以自动将某些内容下载到您的计算机上。通常，普通网站会询问您是否确定要下载该项目，但网站可以在未经您许可的情况下下载某些内容。如果下载的文件是病毒，那么您现在的计算机上就有病毒，病毒会对计算机造成任何类型的损害。
请参阅此处（https://www.microsoft.com/security/pc-security/virus-whatis.aspx）以查看病毒问题以及如何删除它们。