कैसे संगीत के प्यार ने फ्लैश में भेद्यता खोजने में मदद की

एक गर्म सर्दियों की शाम को, मैं एक कंप्यूटर पर बैठा था और पियानो बजाकर आराम करने का फैसला किया। चूंकि मेरे पास एक पियानो नहीं है, मेरे पास सिंथेसाइज़र नहीं है, मैंने, खोज का उपयोग करते हुए, एक नियमित QWERTY कीबोर्ड के उदाहरणों के साथ पियानो के लिए ऑनलाइन खोज शुरू की।

खोज मुझे मंच के पृष्ठ पर ले गई , जहां कई ऑनलाइन सेवाएं प्रदान की गईं। उनमें से एक पर क्लिक करके और बहुत कुछ खेलते हुए, मैंने एक नया टैब खोला और वांछित साइट का पता लिखना शुरू किया। मेरा आश्चर्य क्या था, जब मैंने पते में प्रवेश किया, तो मैंने एक पियानो की आवाज़ सुनी।

विश्वास नहीं हुआ, उसने कुछ और डायल करने की कोशिश की और फिर से एक आवाज सुनी। मुझे यह पता लगाना शुरू हुआ कि ध्वनि किस कार्यक्रम से आ रही थी, क्योंकि मैंने पियानो के साथ उस पृष्ठ को बंद कर दिया था, लेकिन मंच के साथ पृष्ठ बना रहा। पोक करके, कई टैब बंद करके, एक ध्वनि स्रोत मिला। यह फ्लैश पियानो ज़ेबराकेय्स निकला, मंच पर एक संदेश में पोस्ट किया गया।
एहसास है कि यह एक गंभीर भेद्यता है। मैंने अन्य ब्राउज़रों में प्रयास करना शुरू कर दिया (इससे पहले कि यह ऑपरेशन में था)।

सत्यापन दिखाया:
मोज़िला - ध्वनि सभी टैब में बनाई गई थी, जिसमें फ़ोकस सिर्फ पृष्ठ पर होता है;
Chrome - केवल वर्तमान टैब में और जब ध्यान इस पृष्ठ पर किसी भी फ़्लैश अनुप्रयोग में है;
आईई 9 - केवल वर्तमान टैब में, जब फोकस केवल पृष्ठ पर होता है।

चूँकि यह भेद्यता व्यक्तिगत डेटा के अवरोधन का कारण बन सकती है, जिसमें पासवर्ड, पत्र कंपनियों ओपेरा, मोज़िला (मोज़िला सिक्योरिटी बग बाउंटी प्रोग्राम में) और एडोब को लिखे गए थे। चूंकि मैं बोलचाल की अंग्रेजी नहीं बोलता, इसलिए मैंने Google अनुवाद का उपयोग किया।

एक दिन के भीतर, ओपेरा ने प्रतिक्रिया देने के लिए सबसे पहले, पाया गया त्रुटि के लिए धन्यवाद और इसे थोड़े समय में ठीक कर दिया, और मुझे एक रूसी-बोलने वाले कर्मचारी पर स्विच कर दिया ताकि विचारों को व्यक्त करना आसान हो सके।
फ्लैश एप्लिकेशन अब केवल कीबोर्ड प्रेस प्राप्त करते हैं जब एक फ्लैश एप्लिकेशन फोकस में होता है, यहां तक ​​कि एक अलग टैब में भी। Chrome द्वारा टैब की तरह अलग करना संभव नहीं है, क्योंकि Chrome में प्रत्येक टैब के लिए अलग-अलग प्रक्रियाएँ होती हैं।

मोज़िला ने बाद में उत्तर दिया, यह कहते हुए कि वे इसे दोहरा नहीं सकते, वर्णन करें कि कौन से ओएस और प्लगइन्स स्थापित हैं। जवाब दिया कि विंडोज ओएस और इस तरह के और प्लग-इन, मैंने जवाब के लिए और इंतजार किया, और आश्चर्य के साथ मैंने फिर से सुना, मैं समस्या को दोहरा नहीं सकता। उन्हें फिर से लिखा गया कि विंडोज, लिनक्स नहीं और मैक ओएस नहीं, अंत में मोजिला का जवाब सुना, कि हां, यह दोहराना संभव था, हमने अन्य ओएस पर कोशिश की, विंडोज पर कोशिश की और एक आवाज सुनी। मेरी दृढ़ता और मिली त्रुटि के लिए धन्यवाद करते हुए, उन्होंने यह भी लिखा कि बग को ज्ञात था (एक लिंक प्रदान किया गया था) और यह समस्या पहले से ही हल हो रही है। यही है, एक सिंथेसाइज़र प्रोग्राम मोज़िला सिक्योरिटी बग बाउंटी प्रोग्राम के लिए $ 3000 जो मैं नहीं देख सकता। उन्हें यह लिखकर कि वे स्वयं भेद्यता संदेश लिख सकते हैं, रेट्रोैक्टिक रूप से। वैसे, एक महीने से भी कम समय रह गया है और नए मोज़िला 9 में यह भेद्यता मौजूद है और आप "एड्रेस बार में पियानो सही से बजा सकते हैं।"

Adobe ने अभी भी इसका जवाब नहीं दिया है, हालांकि मैंने उस पते पर लिखा था जो शायद ही इंटरनेट पर पाया गया था, समर्थन [] adobe.com शायद यह मौजूद नहीं है, लेकिन पंजीकरण के बिना साइट पर, कुछ भेजने के लिए एक फॉर्म नहीं मिला।

परिणाम

एक तरह से या किसी अन्य में भेद्यता विंडोज पर सभी ब्राउज़रों में मौजूद है, क्योंकि इस ओएस पर फ्लैश ब्राउज़र प्लगइन एपीआई (एनपीएपीआई) के माध्यम से कीबोर्ड घटनाओं को प्राप्त करने के बजाय, विंडोज एपीआई का उपयोग करता है। सभी फ्लैश अनुप्रयोगों के लिए रीडिंग कीज को ब्लॉक करने का एक तरीका है, लेकिन व्यक्तिगत अनुप्रयोगों के लिए ऐसा करना असंभव है। यही है, या तो सभी फ्लैश एप्लिकेशन कीबोर्ड पढ़ेंगे, या कोई भी नहीं होगा (ओपेरा कर्मचारी को दिए गए स्पष्टीकरण के लिए धन्यवाद)।

PS मंच के उस पृष्ठ पर एक सुंदर पियानो है जो उन लोगों के लिए दिलचस्प होगा जो दस-फिंगर प्रिंटिंग विधि के मालिक हैं, क्योंकि वहां आप एक साथ एक ही समय में धुनों के उदाहरण खोल सकते हैं (जो प्रेस करने के लिए एक नियमित कीबोर्ड पर हैं) और स्वयं पियानो। बहुत सहज है। फ़ेसबुक पर उनके समूह में भी कई अन्य उदाहरण हैं।