本文详细介绍了HTML5的Web Worker特性，虽然它能实现多线程计算，避免浏览器僵死，但也引入了安全风险，如Botnet攻击、DDoS、XSS注入等。攻击者可利用Web Worker发动DDoS攻击、发送垃圾邮件。postMessage通信时若不验证来源，可能成为XSS注入点。防御措施包括验证postMessage来源，避免使用innerHTML，以及谨慎访问不安全站点。
一、WebWorker介绍
由于Javascript是单线程执行的，在执行过程中浏览器不能执行其它Javascript脚本，UI渲染线程也会被挂起，从而导致浏览器进入僵死状态。使用WebWorker可以将计算过程放入一个新线程里去执行将避免这种情况的出现。这样我们可以同时执行多个JS任务而不会阻塞浏览器，非常适合异步交互和大规模计算，这在以前是很难做到的。
下面一张图形象的揭示了WebWorker的作用：没有WebWorker时，如果我们要煎一个鸡蛋饼，需要先和面粉，然后打鸡蛋，最后才能煎饼；使用WebWorker，可以在和面粉的同时打鸡蛋，这两者同时进行，都完成后就能开始煎饼，极大的缩短了等待的时间。
但是这样一个好的特性也会引入攻击的可能。
二、WebWorker攻击
1、Botnet
攻击的方式包括DDos攻击、发送垃圾邮件，用户一旦访问恶意页面或者网站时，页面的恶意代码就能把用户的浏览器当作肉鸡，利用WebWorker大规模执行多线程攻击，例如DDos攻击、发送垃圾邮件或者进行网络嗅探。
DDOS攻击（分布式拒绝服务攻击）
2、postMessage带来的问题
&n
最低0.47元/天 解锁文章
扫一扫
到【灌水乐园】发言
