在后XP时代，有朋友这么问我，我说：装上所有软件的所有安全补丁，卸掉山寨软件。——但是他还是会中招，不是因为我的建议有问题，而是因为：

1.0Day 漏洞（即还没有安全补丁修复的漏洞）；
2.他舍不得删掉某些著名的流行的必备的“山寨软件”，而这些软件有漏洞，并且被挂马者利用。
并不是因为Windows 7推出了，所以我“喜新厌旧”，说Windows XP如何不安全。计算机技术是飞速发展的，攻击技术当然也不例外。XP作为目前最主流的操作系统，比起之前的9x系统可谓鸟枪换炮，它区分了内核模式与用户模式，为系统内核提供了强有力的保护。然而9年过去了，攻击技术上升到了新高度：堆溢出、栈溢出、Heap Spray，等等。由于内存地址的可预测性，安全研究者在XP中往往可以挖掘出各种软件的细微漏洞，从而入侵目标系统。于是在后XP时代，安全是建立在不断打补丁修漏洞的基础上。

那么在Windows 7中，情况又是怎样的呢？DEP阻止任意内存地址代码执行，ASLR使内存基址随机化让代码地址变得不可预测。在这两种情况下，一旦有内存漏洞被触发，相应进程就会崩溃退出，从而阻止漏洞被进一步利用。外加使用IE8上网，由于IE浏览器保护模式的作用，所有网页进程都运行在低权限模式。在这多重机制保护之下，即使Windows或者其他软件被挖掘出任意地址执行漏洞，攻击者还是没办法真正地执行他想执行的代码。也就是说，Windows 7的安全是建立在它的内存保护机制之上的，用户不必再为各种山寨软件的漏洞而提心吊胆。

撇开“纵深防御”不谈，一台“裸奔”的Windows 7，不打任何补丁，不装任何杀毒软件，在正常浏览网页（不去主动运行 exe 木马）情况下，安全也是有保障的。（当然，作为专业的安全工程师，我不会建议任何人这么做，呵呵）

当然这也不是说Windows 7永远牢不可破。所谓道高一尺魔高一丈，随着攻击技术的进一步发展，很有可能发明新的技巧绕过这些安全特性。但是截至目前，防御方还处于全面优势的格局。假如有悲观人士认为，反正这些保护迟早还是会被攻破的，那我只能对他说：装个98，让CIH烧你的主板去吧。

还是回到原先的问题：

那我们该如何做才能防止在上网的时候被木马入侵呢？

装个 Windows 7，上网不用怕。 文章出处：产品安全支持专家 Dennis Song