Если тебе кажется, что ничего нет, - Свободное общение - Форумы Anti-Malware.ru Перейти к содержанию
p2u

Если тебе кажется, что ничего нет,

Recommended Posts

p2u

Хочу вам показать один прикол.

Сначала скажу, что у меня в качестве защиты в браузере работает NoScript с максимальными настройками.

Далее работает Adblock Plus с необычными настройками. Блокирующий фильтр по умолчанию: * (блокировать всё, кроме текста). По умолчанию разрешаются для ВСЕХ страниц в Интернете только таблицы стилей (stylesheet).

Для доверенных страниц разрешаются только картинки. Например на anti-malware я задал фильтр:

@@http://www.anti-malware.ru/forum/$background,image

Это значит только картинки с главного сайта. Это вполне достаточно для того, чтобы сайт нормально функционировал.

Теперь переходим к загадке: Идём сюда.

В NoScript отображются следующие блокированные элементы:

385359077c72.jpg

В Adblock (который тоже умеет блокировать скрипты) отображается такая картинка: Нет блокируемых элементов на данной странице:

77a9adeb36e0.jpg

Теперь разрешаем все блокируемые элементы в NoScript:

a7fe8b7fba3b.jpg

А что мы видим в Adblock Plus? Там блокируется элемент 'script', который не отображается (значит и не может блокироваться) в NoScript:

31d0e0a7e9cc.jpg

К счастью, меня фильтр * 'спас'...

Paul

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent

Красиво... Интересно, разрабы NoScript в курсе?..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Красиво... Интересно, разрабы NoScript в курсе?..

Это лишь безобидная шутка со стороны Владимира Паланта, автора Adblock Plus. Giorgio Maone уже давно в курсе, но изменить ничего нельзя. Так работает Firefox. Есть эксплойты по-серьёзнее, которые я не в праве показывать, но можно не волноваться, однако: существует сообщество добрых людей, которые постоянно докладывают о новых находках тому и другому. Это лишь доказывает, что нельзя ни NoScript, ни Adblock Plus признать как полноценные программы защиты; кому не лень обходит их. Это важно честно признать по мере того, как Firefox становится более и более популярным, и добавляет всё больше и больше ненужных фичей... :)

P.S.: И наконец-то появился аргумент для представителей Индустрии Безопасности, которые всегда знали, что так краcиво не бывает, но не смогли доказывать это... ;)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Lamer_

А как же от этого защититься ??

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
А как же от этого защититься ??

Встроить функционал NoScript + AdblockPlus в самом браузере.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mikh

В комментарии к соответствующему посту Владимира Паланта Maone пишет, что указанный скрипт NoScript хотя и не показывает, но, тем не менее, блокирует. - http://adblockplus.org/blog/more-extension-puzzles#c001639

Правильно ли я понимаю, что это в таком случае не слишком значительная дыра в безопасности?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Данная 'дыра' - безобидная шутка от Владимира Паланта. Он и Giorgio любят дразнить друг друга с такими вещами. НО: в NoScript есть серьёзные дыры. Например, через about:blank можно до сих пор перенаправлять на фишинговую страницу с 'нужной полезной нагрузкой'. NoScript против этого ничего не сделает.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mikh
Данная 'дыра' - безобидная шутка от Владимира Паланта. Он и Giorgio любят дразнить друг друга с такими вещами. НО: в NoScript есть серьёзные дыры. Например, через about:blank можно до сих пор перенаправлять на фишинговую страницу с 'нужной полезной нагрузкой'. NoScript против этого ничего не сделает.

Paul

Но скрипты-то на этом фишинговом сайте будут отключены или нет? Т.е. с базовой функцией запрета скриптов в данном случае NS справляется?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Но скрипты-то на этом фишинговом сайте будут отключены или нет? Т.е. с базовой функцией запрета скриптов в данном случае NS справляется?

Во-первых, не все атаки идут через скрипты. Во-вторых, если атакуется уязвимость в памяти через DoS (часто таких находятся), то тогда скрипты не обязательно нужны, и Firefox так же отупеет как Windows и все остальные. Мы не должны забывать, что решение защиты не может делать больше, чем позволяет та платформа на которой оно стоит. Если отупеет Firefox (платформа), то тогда и NoScript (решение безопасности) ничего не сделает и злостный код грузится без отказа... Повезло до сих пор, что дыры очень быстро закрываются. Giorgio всегда справляется за 2-3 часа с момента обнаружения. Но некоторых вещей просто нельзя решать - они зависят от самого браузера...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mikh

Спасибо за разъяснение.

Отредактировал Umnik
оверквотинг

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Забыл сказать, что это как правило (и на практике) только относится к тем страницам, которые уже в доверенные. Разрешения для них могут отменить запреты для третьих сторон при определённых обстоятельствах. Исправления NoScript последнее время были именно такого типа, но они, естественно не разглашаются... :) Вы видели мой список доверенных в соседней теме - он пуст; то есть: доверенных нет. Только когда обязательно надо временно разрешаю. И настройка по умолчанию 'Base 2nd Level Domains' (noscript.net) изменил на 'Полные Адреса' (http://www.noscript.net).

Да, и потом AdblockPlus для меня ещё дополнительный слой, но это точно не каждому по душе...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×