অ্যাডব্লক প্লাসে দুর্বলতা যা সন্দেহজনক ফিল্টার ব্যবহার করার সময় কোড কার্যকর করার অনুমতি দেয়

অ্যাডব্লক প্লাস অ্যাড ব্লকারে চিহ্নিত দুর্বলতা, অনুমতি আক্রমণকারীদের দ্বারা প্রস্তুতকৃত অযাচাইকৃত ফিল্টার ব্যবহার করার ক্ষেত্রে (উদাহরণস্বরূপ, MITM আক্রমণের সময় নিয়মের তৃতীয় পক্ষের সেটগুলিকে সংযুক্ত করার সময় বা নিয়ম প্রতিস্থাপনের মাধ্যমে) সাইটের প্রেক্ষাপটে জাভাস্ক্রিপ্ট কোড কার্যকর করার ব্যবস্থা করুন।

ফিল্টারগুলির সেট সহ তালিকার লেখকরা অপারেটরের সাথে নিয়ম যুক্ত করে ব্যবহারকারীর দ্বারা খোলা সাইটগুলির প্রসঙ্গে তাদের কোডের সম্পাদন সংগঠিত করতে পারে "পুনর্বার লেখা", যা আপনাকে URL এর অংশ প্রতিস্থাপন করতে দেয়। পুনর্লিখন অপারেটর আপনাকে URL-এ হোস্ট প্রতিস্থাপন করার অনুমতি দেয় না, তবে এটি আপনাকে অনুরোধের আর্গুমেন্টগুলি অবাধে ম্যানিপুলেট করার অনুমতি দেয়। শুধুমাত্র টেক্সট একটি প্রতিস্থাপন মাস্ক হিসাবে ব্যবহার করা যেতে পারে, এবং স্ক্রিপ্ট, অবজেক্ট এবং সাবডকুমেন্ট ট্যাগ প্রতিস্থাপন অনুমোদিত অবরুদ্ধ.

যাইহোক, কোড এক্সিকিউশন একটি ওয়ার্কআউন্ডে অর্জন করা যেতে পারে।
Google Maps, Gmail, এবং Google Images সহ কিছু সাইট, এক্সিকিউটেবল জাভাস্ক্রিপ্ট ব্লকগুলিকে গতিশীলভাবে লোড করার কৌশল ব্যবহার করে, যা খালি পাঠ্য আকারে প্রেরণ করা হয়। যদি সার্ভার অনুরোধ পুনঃনির্দেশের অনুমতি দেয়, তাহলে URL প্যারামিটার পরিবর্তন করে অন্য হোস্টে ফরওয়ার্ড করা সম্ভব হতে পারে (উদাহরণস্বরূপ, Google এর প্রসঙ্গে, API এর মাধ্যমে একটি পুনঃনির্দেশ করা যেতে পারে "google.com/search")। পুনঃনির্দেশের অনুমতি দেয় এমন হোস্ট ছাড়াও, ব্যবহারকারীর সামগ্রী (কোড হোস্টিং, নিবন্ধ পোস্টিং প্ল্যাটফর্ম ইত্যাদি) পোস্ট করার অনুমতি দেয় এমন পরিষেবাগুলির বিরুদ্ধেও আক্রমণ করা যেতে পারে।

প্রস্তাবিত আক্রমণ পদ্ধতিটি শুধুমাত্র সেই পৃষ্ঠাগুলিকে প্রভাবিত করে যেগুলি জাভাস্ক্রিপ্ট কোডের স্ট্রিংগুলি গতিশীলভাবে লোড করে (উদাহরণস্বরূপ, XMLHttpRequest বা ফেচের মাধ্যমে) এবং তারপরে সেগুলি কার্যকর করে৷ আরেকটি গুরুত্বপূর্ণ সীমাবদ্ধতা হল রিডাইরেক্ট ব্যবহার করা বা রিসোর্স প্রদানকারী মূল সার্ভারের পাশে নির্বিচারে ডেটা রাখার প্রয়োজন। যাইহোক, আক্রমণের প্রাসঙ্গিকতা প্রদর্শনের জন্য, “google.com/search” এর মাধ্যমে একটি পুনঃনির্দেশ ব্যবহার করে, maps.google.com খোলার সময় কীভাবে আপনার কোড কার্যকর করা যায় তা দেখানো হয়েছে।

ঠিক করার প্রস্তুতি এখনও চলছে। সমস্যাটি ব্লকারদেরও প্রভাবিত করে অ্যাডব্লক и uBlock. uBlock অরিজিন ব্লকার সমস্যা দ্বারা প্রভাবিত হয় না, যেহেতু এটি "পুনরায় লেখা" অপারেটরকে সমর্থন করে না। এক সময় ইউব্লক অরিজিনের লেখক
প্রত্যাখ্যান সম্ভাব্য নিরাপত্তা সমস্যা এবং অপর্যাপ্ত হোস্ট-স্তরের বিধিনিষেধ উল্লেখ করে পুনর্লিখনের জন্য সমর্থন যোগ করুন (কোয়েরি পরামিতিগুলি প্রতিস্থাপন করার পরিবর্তে পুনরায় লেখার পরিবর্তে একটি কোয়েরিস্ট্রিপ বিকল্প প্রস্তাব করা হয়েছিল)।

অ্যাডব্লক প্লাস বিকাশকারীরা বাস্তব আক্রমণগুলিকে অসম্ভাব্য বলে মনে করে, যেহেতু নিয়মের মানক তালিকার সমস্ত পরিবর্তন পর্যালোচনা করা হয় এবং তৃতীয় পক্ষের তালিকাগুলি সংযুক্ত করা ব্যবহারকারীদের মধ্যে অত্যন্ত বিরল। MITM এর মাধ্যমে নিয়ম প্রতিস্থাপন স্ট্যান্ডার্ড ব্লক তালিকা ডাউনলোড করার জন্য HTTPS-এর ডিফল্ট ব্যবহার দ্বারা প্রতিরোধ করা হয় (অন্যান্য তালিকার জন্য এটি ভবিষ্যতে প্রকাশে HTTP এর মাধ্যমে ডাউনলোড নিষিদ্ধ করার পরিকল্পনা করা হয়েছে)। নির্দেশাবলী সাইটের দিকে একটি আক্রমণ ব্লক করতে ব্যবহার করা যেতে পারে সিএসপি (সামগ্রী নিরাপত্তা নীতি), যার মাধ্যমে আপনি স্পষ্টভাবে হোস্ট নির্ধারণ করতে পারেন যেগুলি থেকে বাহ্যিক সংস্থানগুলি লোড করা যেতে পারে।

উত্স: opennet.ru