100 चरित्र टैग हैकिंग

बहुत पहले नहीं, मुझे पता चला कि जावास्क्रिप्ट आप को क्लिक करने के बाद <a> टैग के href विशेषता को बदलने की अनुमति देता है। पहली नज़र में, यह गंभीर नहीं दिखता है, लेकिन संकोच न करें - इस तरह एक हमलावर उपयोगकर्ता डेटा प्राप्त करने में सक्षम होगा।

मुझे आपको दिखाते हैं: ( नोट लेन: एक उदाहरण जिसे आप मूल लेख में देख सकते हैं। लिंक शुरुआत में पेपाल की ओर जाता है, लेकिन इस पर क्लिक करने के बाद, लेखक के ब्लॉग के दूसरे पृष्ठ पर रीडायरेक्ट होता है। )

जैसा कि आपने देखा है, आप पेपाल (ओपेरा को छोड़कर, जहां, जाहिर है, यह व्यवहार तय नहीं है) पर स्विच नहीं किया। ऐसा इसलिए हुआ क्योंकि लिंक पर क्लिक करने के बाद कोड लॉन्च किया गया था जिसने लिंक की href विशेषता को बदल दिया, और आश्चर्यजनक रूप से, ब्राउज़र एक नया पता भेजता है। लेकिन ऐसा नहीं होना चाहिए। लिंक के द्वारा साइट के आगंतुक (शायद उनमें से सबसे अधिक तकनीकी रूप से जानकार) यह मान लेंगे कि वे इस मामले में पेपाल साइट पर कहाँ जाते हैं। पिछले साल, पेपाल होम पेज (यूके) से पेपाल-business.co.uk पर कई महीनों के लिए पुनर्निर्देशित किया गया था। मेरी राय में, उपयोगकर्ता पहले से ही ऐसे रीडायरेक्ट के आदी हैं, जो अपने आप में एक भेद्यता है और एक वास्तविक खतरा बन गया है, जैसा कि मैं इसे फिशिंग 2.0 कहता हूं।

कोड पर एक नज़र डालें:

//  var links = document.links; for(i in links) { links[i].onclick = function(){ this.href = 'http://bit.ly/141nisR'; }; } //  ( 100 ;  67,  ) //  sgoel  HN o=document.links;for(i in o){o[i].onclick=function(){this.href='//bit.ly/141nisR'}} 

इस घटना का पता लगाना बहुत मुश्किल है। लगभग हर कोई जो जावास्क्रिप्ट / jQuery का उपयोग करता है, लिंक पर सीधे ऑनक्लिक विशेषता को संलग्न करने के बजाय <a> टैग के ईवेंट हैंडलर का उपयोग करता है, जिसका पता लगाना अधिक कठिन है। इसके अलावा, आप हैंडलर का पता लगाने के किसी भी साधन को बायपास करने के लिए सेटटाइमआउट रैपर का उपयोग कर सकते हैं। अधिक या कम सक्षम हैकर एक कंप्यूटर वायरस बना सकता है या इंजेक्शन के लिए एम्बेडेड जावास्क्रिप्ट कोड का उपयोग कर सकता है। जावास्क्रिप्ट कोड बहुत आसानी से अपडेट किया जा सकता है (इंजेक्शन द्वारा, विशेष रूप से), और मैं कहूंगा कि McAfeeSecure और PhishTank जैसे उपकरण फ़िशिंग 2.0 का सामना करने में सक्षम नहीं हैं

क्योंकि ऑन्कलिक ईवेंट की लिंक विशेषता को बदलना वास्तव में उपयोगी नहीं है, मेरा सुझाव है कि वर्ल्ड वाइड वेब कंसोर्टियम (W3C) और मुख्य ब्राउज़र इस सुविधा को अक्षम करते हैं। यह एक अविश्वसनीय रूप से सरल दोष है, कुछ लोगों के लिए, यह व्यवहार सामान्य लग सकता है, लेकिन यह सबसे अधिक संभावना है कि इसका उपयोग अवरोधक के लिए किया जा सकता है, न कि लाभ के लिए। मैं समझता हूं कि Google और अन्य साइटें इस व्यवहार का उपयोग कर सकती हैं, लेकिन अगर हम इंटरनेट को सुरक्षित बनाना चाहते हैं, तो हमें इस तरह के अस्तित्व को कम करने की अनुमति नहीं देनी चाहिए, भले ही कमजोरियां हों।

UPD (19/3) - एक विचार आया - उपयोगकर्ताओं को चेतावनी देने के लिए कि किसी लिंक पर क्लिक करने पर, दूसरे डोमेन पर एक संक्रमण हो जाएगा ( +1 से अबिडीडिया )। Google और Facebook जैसी साइटें सामान्य रूप से काम करती रहेंगी, जैसे एक डोमेन का उपयोग करें, और यह फ़िशिंग की संभावना को समाप्त कर देगा। इस मामले में, हर कोई जीत जाएगा (फिशर्स को छोड़कर, निश्चित रूप से!)। मुझे आपकी सहायता की आवश्यकता है ताकि प्रमुख ब्राउज़र इस विचार को जितनी जल्दी हो सके स्वीकार कर लें। आइए, हमलावरों से आम उपयोगकर्ताओं को बेवकूफ बनाने का एक आसान तरीका निकालें।
UPD (19/3) - फ़ायरफ़ॉक्स के लिए एक प्रस्ताव प्रस्तावित, एक उत्तर की प्रतीक्षा कर रहा है।
UPD (20/3) - अफवाह यह है कि Google Chrome एक हॉटफिक्स जारी करेगा, लेकिन मैंने इसकी पुष्टि नहीं की है।

( यह मेरा पहला अनुवाद है, कृपया कड़ाई से न्याय न करें,% उपयोगकर्ता नाम%, मैं व्यक्तिगत रूप से सभी टिप्पणियों को व्यक्तिगत रूप से स्वीकार करूंगा और इसे ठीक करने का प्रयास करूंगा। )

UPD: मैं ध्यान देना चाहता हूं - मेरी राय हमेशा मूल लेख के लेखक के साथ मेल नहीं खाती है, विशेषकर अधिसूचना के विचार में जब पुनर्निर्देशित किया जाता है। और मैं टिप्पणियों में पहले से ही व्यक्त किए गए दृष्टिकोण का समर्थन करता हूं कि डेटा दर्ज करने से पहले पता बार की जांच करना आवश्यक है।