作者：趋势科技

Adobe Reader 最近出现新的零时差漏洞攻击，不禁会让人思考，是否有更安全的方式来使用 PDF 文件。答案是肯定的：你可以在使用 PDF 文件的同时降低风险。建议做法如下：

保持 PDF 阅读器的版本始终为最新，使用内建的自动更新功能，或直接从厂商网站下载。

首先是每次都必须重复强调的，保持 PDF 阅读器的版本始终为最新。很多受欢迎的 PDF 阅读器都内建了某种形式的自动更新功能，因此这一点不难做到。要小心从不知名网站下载来的“更新”，因为有可能遇到恶意软件伪装的“更新程序”。请使用内建的自动更新功能，或直接从厂商网站下载。

这里先不提那些老生常谈的建议，例如不要打开可疑文件或网站等。现在让我们假设攻击已经出现，并且使用了一些看似正常而无法轻易分辨的手法，例如黑洞垃圾邮件攻击。

你可能会以多种方式接触到恶意 PDF 文件，但大致来说，可以归类为在浏览器内，或在浏览器外部两种方式。浏览器内的攻击是指，PDF 文件会在通过插件或浏览器本身的功能，直接在浏览器窗口中打开。例如漏洞攻击包就是让用户通过浏览器接触到 PDF 文件的例子。

另外一种则是在浏览器外进行的攻击：文件经由邮件程序或浏览器储存到计算机上，然后用 PDF 阅读器打开。

对于浏览器内的攻击，你可以做的就是尽量不要使用插件打开PDF 文件。Google Chrome 和 Mozilla Firefox 都可以不借助外部程序，直接使用内建功能打开 PDF 文件（Chrome 浏览器内建了这样的功能，Firefox 则需要下载一个插件）。想要使用这个功能，可能需要先关闭 PDF 阅读器安装到浏览器中的插件，不同浏览器可能有不同的作法。

至于浏览器外的攻击，通过 PDF 阅读器软件打开 PDF 文件，一个常见的建议是避免使用 Adobe Reader，但这并不是万灵丹。第三方阅读器也不能幸免于漏洞攻击。使用不同的 PDF 阅读器只是治标不治本的作法，并不能真正提供太多保护。

PDF 阅读器通常会有些选项可以增强对恶意文件的防护，只是通常会牺牲部分功能。例如 Adobe Reader 的受保护视图功能，可以通过内建的沙盒技术打开 PDF 文件，但代价是无法打印、全屏幕显示，以及存储附件文件。这样的限制让漏洞的攻击变得更加难以成功，而且其他阅读器也都有类似的功能，同时也需要牺牲部分功能：减少功能以提高安全性。这些功能并不一定都是默认开启的，所以最好检查一下当前的设置，并将其启用。然而这些并不是万无一失的，一些精心设计的漏洞攻击依然可以绕过这些限制。

这就和 Java 的情况类似，要提高 PDF 安全性，一个重要的步骤就是将其从浏览器中移除。幸运的是这样做不会导致任何功能上的丢失（仅针对某些浏览器）。虽然并没有保证万无一失的作法，但这些建议将有助于尽量减少可能的风险。

＠原文出处：How To Use PDF Files More Safely

本文版权为趋势科技所有，对于非赢利网站或媒体转载请注明作者以及原文链接。谢谢合作！