本周早些时候，系统堂报道，微软Edge浏览器在上周举行的最新Pwn2Own比赛中被参赛者多次成功入侵。事实上，Edge是那个竞争中最受骇客的网络浏览器。比赛的亮点是360安全公司通过使用堆溢出的Microsoft Edge完成了虚拟机逃脱。

　　浏览器安全性的主要目标之一是保护远程执行代码(RCE)。在RCE中，黑客从浏览器中的Web代码(JS和HTML)中逃脱，运行本机CPU代码来控制系统。如果黑客成功在RCE，他们可能会违反浏览器的其他安全保护措施。包括Microsoft在内的所有浏览器厂商都使用沙箱技术将浏览器的攻击与系统其他部分隔离开来。在过去，Microsoft通过在Internet Explorer中被称为保护模式的功能来提供这种沙盒机制。

　　使用Microsoft Edge，默认情况下，用户访问的每个互联网页面都将在应用程序容器中呈现，这是Windows中最新最安全的客户端应用程序沙箱。Microsoft Edge使用多个应用程序容器。首先，管理员有一个父应用程序容器，它创建了少量额外的应用程序容器来从互联网上独立于内部网内容托管内容。随着Windows 10周年纪念更新，Microsoft将Flash移动到自己的独立应用程序容器中。每当黑客尝试攻击其中一个应用程序容器以访问用户设备或存储在设备上的个人数据时，他们将首先从沙箱中逃脱。

　　微软最近发表了关于Edge在即将推出的Windows 10“创新者更新”中的改进，以加强“边缘”沙箱。他们正在通过配置应用程序容器来进一步降低其特权来显着减少沙箱的攻击面。他们为Microsoft Edge内容过程创建了一个调优的沙箱，与通常的应用程序容器提供的功能需求相比，更紧密地适用于软件的功能需求。除了内容流程外，Edge团队还将其他几个代理流程放在了调优的，较少特权的应用程序容器中，再次使用由功能构建的定制容器配置文件。随着这些改进，微软声称有关沙箱攻击面的以下数字。

　　对MUTEXes进行100%的减少访问：允许进程锁定资源，导致挂起。

　　WinRT和DCOM API的访问减少了90%：这是在这里的巨大胜利，大大减少了Microsoft Edge对WinRT API集的攻击面。

　　减少70%的访问事件和符号链接：符号链接特别有趣，因为它们经常用于创意诱饵和切换攻击以逃脱沙箱。

　　访问设备减少40%：Windows支持许多设备驱动程序，其质量远远超出了微软的控制范围。调整后的沙箱可以切断对Microsoft Edge不明确需要的任何设备的访问，防止攻击者使用设备驱动程序中的漏洞或者滥用设备。

　　众所周知，减少攻击面并不意味着黑客不能逃脱沙箱，而是微软正试图大大减少攻击的机会。我们将了解这些改进在未来几个月内如何影响现实世界的攻击。