गैरजिम्मेदारी और एक भेद्यता की कहानी

मैं यह नोट करने में जल्दबाजी करता हूं कि इस लेख का ओपेरा के वेबकिट में संक्रमण से कोई लेना-देना नहीं है। मैं सिर्फ एक समस्या पर ध्यान आकर्षित करना चाहता हूं जिसने मुझे और ओपेरा को एक सरल उदाहरण के साथ कई वर्षों तक पीड़ित किया है।

प्रस्तावना

ओपेरा ब्राउज़र के साथ मेरा परिचय 90 के दशक के अंत में शुरू हुआ। यह तब था जब मैं जनवरी में बर्फ से ढंके बाजार में एक अपरिचित दाढ़ी वाले आदमी से एक डिस्क खरीदने के लिए भाग्यशाली था। इसे "गोल्डन सॉफ्टवेयर" की तरह ही विचित्र रूप से पर्याप्त कहा जाता था, जिसमें कवर पर कार्यक्रमों और आकर्षक इनसेट की सूची होती थी, "कोई% कोई वायरस नहीं!"। तत्कालीन "शेयरवेयर" ओपेरा के साथ मेरी दोस्ती इस डिस्क पर शुरू हुई। एक मल्टी-टैब इंटरफ़ेस, चित्रों को बंद करने की क्षमता - रूसी डायल-अप के लिए और क्या आवश्यक था?

इसलिए, हाल के वर्षों में, जब मैं बार-बार इस तथ्य के साथ आता हूं कि ओपेरा "डिफ़ॉल्ट रूप से" मैलवेयर के छिपे हुए लोड को कंडोम करता है, तो मैं अभी भी इसे छोड़ना नहीं चाहता हूं।

टाई

हर घटना दुख और अप्रत्याशित रूप से शुरू होती है। कुछ भी नहीं मुसीबत। इंटरनेट पर मानक सर्फिंग, फ़ायरवॉल चालू होता है, एंटीवायरस ट्रे में सख्ती से लटका रहता है, कुछ जानकारी खोजता है, लिंक पर क्लिक करता है, फ़ाइल साझा करता है और अप्रत्याशित रूप से फ़ायरवॉल संदेश "आवेदन fghtdhdffsdhr.exe रजिस्ट्री तक पहुंच का अनुरोध करता है?" (नाम "fghtdhdffsdhr.exe"? यादृच्छिक पर लिया गया है, लेकिन ऐसी फ़ाइलों के नामकरण के सामान्य सिद्धांत को दर्शाता है)। एक शांत घबराहट शुरू होती है। आपके विचारों में, आप हमेशा सबसे खराब चीज से डरते हैं - एक क्रिप्टोवायरस में चलाने के लिए और दस्तावेजों और स्रोत कोड के वर्षों में खो देते हैं। डिस्क गतिविधि डायोड पर एक नज़र, मैं उन्हें सुनता हूं - वे चुप हैं, जिसका मतलब है कि वायरस फ्रीज करने के लिए रजिस्ट्री तक पहुंचने के लिए कॉल का इंतजार कर रहा है। और जब वह पकड़े हुए होता है, तब तसलीम शुरू होती है।

यह जल्दी से स्पष्ट हो जाता है कि वायरस को उपयोगकर्ता की निर्देशिका (या अस्थायी इंटरनेट फ़ाइलों के फ़ोल्डर) से लॉन्च किया गया था, java.exe प्रक्रिया ने इसे शुरू किया था, और java.exe प्रक्रिया, बदले में, opera.exe प्रक्रिया द्वारा लॉन्च की गई थी। वायरस प्रक्रिया को मार दिया जाता है और इसकी फाइल नष्ट हो जाती है।


मैंने ऐसे मामलों में कोई कार्रवाई नहीं की। इसने मुझे थोड़ा परेशान किया। हां, और जावा प्लग-इन, जो, वैसे, ओपेरा में डिफ़ॉल्ट रूप से चालू हो गया था, मैं अक्षम नहीं करना चाहता था। फ़ायरवॉल के लिए लाइसेंस स्थिर था, ऑपरेटिंग सिस्टम मैं भी समय-समय पर पुनर्स्थापित किया गया था, और ओपेरा के साथ एक तसलीम के बिना बहुत सारे मामले थे। हालाँकि मैं इसे और जावा को अपडेट करना नहीं भूलता, लेकिन चुपके से यह उम्मीद करना कि किसी दिन वे इस हद तक अपडेट हो जाएंगे कि वे इस समस्या को हल कर देंगे।

उत्कर्ष

2012 आ गया है। और वह आश्चर्यजनक रूप से शांति से चला। कुछ भी खतरनाक नहीं हुआ, जिसने मुझे पूरी तरह से शांत कर दिया और यह निर्णय लिया गया कि बुराई ओपेरा + जावा गुच्छा में, उन्होंने आखिरकार रिमोट मशीन पर मनमाने कोड के निष्पादन के साथ समस्या को हल किया। मैं व्यर्थ की आशा कर रहा था।

शरद ऋतु 2012 में, अप्रत्याशित रूप से, जब बहुत भयानक रूप से दुर्लभ फ़ाइल को होस्ट करने वाली फ़ाइल होस्टिंग सेवा से डाउनलोड किया जाता है, तो एक पुरानी कहानी शुरू होती है। और यह नाराजगी: यह आवश्यक है कि कम से कम कोई ओपेरा को इस तरह की भेद्यता से निपटने के लिए कहता है। मैंने सोचना शुरू किया: मान लीजिए कि मैंने पहली बार इस फ़ाइल को होस्ट करते हुए देखा, और मैं इसे फिर कभी नहीं देखूंगा। लेकिन इससे पहले, यह लोकप्रिय संसाधनों पर हुआ था, उसी के ट्रैकर्स, विज्ञापन के साथ अतिभारित, लेकिन फिर भी अपने उपयोगकर्ताओं की सराहना करते हैं। क्या इन साइटों के प्रशासक इतने भ्रष्ट हैं कि वे अज्ञात डेवलपर्स के जावा एप्लेट को पीड़ितों के लिए बाद के भयानक परिणामों के साथ निष्पादित करने की अनुमति दे सकते हैं? यह संदिग्ध है।

एक वर्चुअल मशीन, एक HTTP डीबगर, एक नेटवर्क एक्टिविटी मॉनिटर, साथ ही सिसिन्टर्नल्स से प्रक्रियाओं की गतिविधि की निगरानी के लिए एक उपयोगिता के साथ सशस्त्र, मैंने जांच शुरू की। फ़ाइल होस्टिंग साइट पर उसी फ़ाइल पर जाने से कोई परिणाम नहीं मिला। पेज रिफ्रेश भी। ओपेरा java.exe प्रक्रिया उत्पन्न करने की जल्दी में नहीं था, केवल छवियों के रूप में बहुत सारी बाइनरी फाइलें थीं: एक विज्ञापन, विज्ञापन, विज्ञापन।

पहला विचार, जो बाद में सही निकला, सरल था - ट्रोजन वितरित करने वाली साइट एक हाथ में एक से अधिक फ़ाइल नहीं देती है। बल्कि, एक आई.पी. बाहरी IP को बदल दिया, फ़ाइल होस्टिंग सेवा पर फिर से चढ़ गया। कोई प्रतिक्रिया नहीं।

दूसरा विचार, जो बाद में सही भी निकला, फिर से सरल था - वायरस को वितरित करने वाली साइट एक हाथ में एक से अधिक फ़ाइल नहीं देती है। बल्कि, यह केवल उन लोगों को देता है जिनके पास इसकी कुकी नहीं है। हम सभी साइटों से प्राप्त सभी कुकीज़ को नष्ट करते हैं, आईपी बदलते हैं, साइट पर जाते हैं। बाद में, कार्य प्रबंधक ने java.exe के लॉन्च पर कब्जा कर लिया, फिर अगला "fghtdhdffsdhr.exe", जिसे मैं खुशी के साथ नष्ट कर देता हूं, मेरी राय में, यह काफी बर्बाद हो गया।

लॉग फ़ाइलों के साथ तसलीम शुरू हुआ। वायरस ने विशिष्ट गतिविधि दिखाई। यह दिलचस्प नहीं था, यह दिलचस्प था कि वह कैसे दिखाई दिया। तथ्य यह है कि यह मूल रूप से एक जावा एप्लेट द्वारा लोड किया गया था, मुझे समझ में आया, लेकिन मैं वास्तव में यह समझना चाहता था कि फ़ाइल होस्टिंग प्रशासकों ने इसकी अनुमति कैसे दी। यह बहुत सरल निकला, हालांकि पुनर्निर्देश और विज्ञापन की प्रचुरता के कारण भ्रमित होना। "विज्ञापन" में से एक पृष्ठ-काउंटर को एक तृतीय-पक्ष साइट से * .swf फ़ाइल के रूप में डाउनलोड करने के लिए अनुरोध किया गया है। यह एक काउंटर था, मुझे लगता है, क्योंकि साइट को उचित रूप से कहा जाता था। और वह डोमेन आरयू में था, वैसे। लेकिन इस फ़ाइल ने ब्राउज़र को दूसरे काउंटर पर भेज दिया। *। Com साइट और अब वह लगभग हमेशा एक खाली पृष्ठ लौटाता है एक संकेत के साथ कि, हां, उपयोगकर्ता को गिना गया है। लेकिन अगर उपयोगकर्ता ने पहली बार काउंटर डाउनलोड किया, तो ब्राउज़र को जावा एपलेट के साथ पृष्ठ पर पुनः निर्देशित किया गया था, जिसे java.exe द्वारा संसाधित किया गया था, उपयोगकर्ता के कंप्यूटर पर निष्पादन योग्य फ़ाइल डाउनलोड की और इसे लॉन्च किया। Java.exe को ओपेरा द्वारा कई मापदंडों के साथ लॉन्च किया गया था, जिसमें शामिल है, जैसा कि मैं इसे समझता हूं, नामित पाइप का नाम जिसके माध्यम से ओपेरा एप्लेट को मर्ज करता है। अधिक गहन जांच का समय नहीं था।

बेशक, मैंने समस्या की घटना के अनुक्रम का वर्णन करते हुए opera.com पर एक बग रिपोर्ट पोस्ट की। काफी उम्मीद है, उन्होंने मुझे जवाब दिया कि यह एक जावा समस्या है, ब्राउज़र सही तरीके से काम कर रहा है, और ओरेकल को पत्र लिखता है। ओरेकल में, मैंने नहीं लिखा, मेरे दृष्टिकोण से, जावा भी सही ढंग से काम करता है। कोड निष्पादित करता है, फ़ाइलें डाउनलोड करता है, प्रोग्राम लॉन्च करता है, किस बारे में शिकायत करें? समस्या यह थी कि ओपेरा ने जावा को अज्ञात स्रोतों से अज्ञात कोड निष्पादित करने की अनुमति दी थी। निष्पक्षता में, मैं ध्यान देता हूं कि डिफ़ॉल्ट रूप से क्रोम और फ़ायरफ़ॉक्स जावा प्लगइन को सुरक्षा समस्याओं के कारण काम करने से रोकते हैं। दूसरी समस्या, निश्चित रूप से लोकप्रिय संसाधनों के वेबमास्टरों में है, जो छापों और यातायात की खोज में, संदिग्ध स्रोतों से अपनी साइटों पर विज्ञापन देते हैं, जो एक तरफ, अपने इच्छित उद्देश्य के लिए काम कर सकते हैं, या, शायद, पूरी तरह से हानिरहित होने का नाटक कर रहे हैं। , और बुराई करो।

परिणाम

लेख के लिए प्रेरणा सिरदर्द का एक और रूप था, प्रकट, जो पहले से ही डरावना है, मेरे शहर में बहुत लोकप्रिय सुपरमार्केट की साइट पर। इस साइट के कुछ पन्नों पर, ओपेरा ने जावा के माध्यम से फिर से अज्ञात फ़ाइलों को लॉन्च किया! लेकिन वहां सब कुछ बहुत सरल हो गया: पृष्ठ कोड में, इसके तल पर, समापन के पीछे भी <html> टैग एक तृतीय-पक्ष सर्वर से एक जेएस स्क्रिप्ट कॉल था, जो पुनर्निर्देश की एक श्रृंखला के बाद एप्लेट को लोड करता है। यह onmousemove घटना पर काम किया और एक लघु iframe में लोड किया। और, हमेशा की तरह, स्टोर पृष्ठों के माध्यम से दोहराया जाने वाले वायरस को डाउनलोड करने के लिए नेतृत्व नहीं किया गया था: दुर्भावनापूर्ण सर्वर एक कुकी सेट करता है और आईपी पते को याद करता है। इस तरह के एक परिचित संयोजन के लिए, वायरस के बजाय साइट ने कोड 404 लौटा दिया। यह इस क्षमता के लिए धन्यवाद है कि पृष्ठ पर वायरस और दुर्भावनापूर्ण कोड बहुत लंबे समय तक अनडेट किया जा सकता है। साइट व्यवस्थापक, एक बार कुकी पकड़ने के बाद, इस समस्या को कभी नहीं देखेगा। और बशर्ते कि साइट की केवल सामग्री अपडेट की गई हो, कोड के अगले संशोधन में बहुत लंबा समय लग सकता है, इस दौरान हमलावर अपने दृष्टिकोण और ट्रोजन लगाए जा सकेंगे।

संक्रमण की विधि भी सरल है: सबसे अधिक संभावना है, व्यवस्थापक को स्टोर की साइट के लिए ftp खाते के लिए पासवर्ड मिला। शायद वही ट्रोजन। और फिर <script> </ script> टैग स्वचालित रूप से सभी *। Html फ़ाइलों या HTML- कोड वाली फ़ाइलों में पंजीकृत किया गया था। कोई आश्चर्य नहीं कि यह </ html> टैग के पीछे भी स्थित है।

और मैं साइट व्यवस्थापक से संपर्क नहीं कर सकता, साइट के संपर्क केवल प्रेस कार्यालय को दर्शाते हैं। यह जानते हुए कि नौकरशाही कॉर्पोरेट तंत्र के माध्यम से मेरा बयान कब तक अपना रास्ता बनाएगा, और यह महसूस करते हुए कि यह "गलती से" खो सकता है, मैं उन्हें "आधिकारिक" रूप से संबोधित नहीं करना चाहता। इसके अलावा, साइट व्यवस्थापक, एक-दो मिनट में पत्र को पढ़ने के बाद, सभी समस्याओं को ठीक कर देगा और बिना बदले उसके आनंदपूर्ण अस्तित्व को जारी रखेगा, शायद साइट तक पहुंचने के लिए पासवर्ड भी। स्टोर के आईटी विभाग में अपने मित्र के माध्यम से, मैं सीधे साइट प्रशासकों के पास जाऊंगा और समस्या का सार बताऊंगा।

अंतभाषण

मुझे आशा है कि यह एक शिक्षाप्रद कहानी है जिसमें से कई निष्कर्ष निकाले जा सकते हैं:

• चिड़चिड़ापन और लापरवाही से दुःखद परिणाम हो सकते हैं।
• अपनी पसंदीदा साइटों पर भी भरोसा न करें। यदि कल उन पर सब कुछ अच्छा था, तो आज यह पहले से ही खराब हो सकता है।
• वायरस वितरित करने वाले सर्वर मूर्ख नहीं हैं। एक हाथ में एक से अधिक जहाज न रखें। प्रति आईपी या कंप्यूटर पर संक्रमण का केवल एक प्रयास।
• मुझे लगता है कि ओपेरा / ओपेरा का उपयोग करके जावा प्लग-इन ओपेरा को अक्षम करके या सेटिंग्स में स्वत: पुनर्निर्देशन को अक्षम करके (संदिग्ध और असुविधाजनक) समस्या को हल किया जा सकता है।

पीएस I पुराने संस्करणों के अन्य ब्राउज़रों में इस "समस्या" की उपस्थिति की संभावना को बाहर नहीं करता है।

UPD: प्रश्नों के संबंध में, मैं लेख के मुख्य विचार पर प्रकाश डालूंगा: ओपेरा, अन्य लोकप्रिय ब्राउज़रों के विपरीत, "डिफ़ॉल्ट रूप से" संभावित जावा सुरक्षा समस्याओं के बारे में उपयोगकर्ता को चेतावनी नहीं देता है। दूसरा नैतिक यह है कि इस तरह के एक "भेद्यता" का शोषण (हाँ, इस शब्द को उद्धरण चिह्नों में और शीर्षक में रखना आवश्यक था) लोगों की विभिन्न श्रेणियों (लेख में उदाहरण) की गैरजिम्मेदारी के कारण संभव है।