Ve filtru používaném v uBlock Origin byla přidána pravidla pro blokování typických skriptů pro skenování síťových portů na místním systému uživatele. Připomínáme, že v květnu skenování lokálních portů při otevření stránky eBay.com. Ukázalo se, že tato praxe se neomezuje pouze na eBay a mnohé (Citibank, TD Bank, Sky, GumTree, WePay atd.) provádějí skenování portů lokálního systému uživatele při otevření svých stránek pomocí kódu pro identifikaci pokusů o přístup z napadených počítačů, poskytovaného službou ThreatMetrix.
V případě eBay bylo prováděno ověřování 14 síťových portů spojených se servery vzdáleného přístupu, jako jsou VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin a RDP. Pravděpodobně se ověřování provádí přítomnosti stop kontaminace systému škodlivým softwarem za účelem předcházení podvodným nákupům pomocí botnetů. Skenování může být také použito k získání údajů pro nepřímou .
Pro skenování se používá technika založená na pokusu o navázání spojení s různými síťovými porty hostitele 127.0.0.1 (localhost) prostřednictvím . Skutečnost existence otevřeného síťového portu je určena nepřímo na základě rozdílu v zpracování chyb při připojení k aktivním a nepoužívaným síťovým portům. WebSocket umožňuje odesílat pouze HTTP požadavky, ale takový požadavek pro neaktivní síťový port končí chybou okamžitě, zatímco pro aktivní port trvá chvíli, než dojde k pokusu o navázání spojení. Kromě toho v případě neaktivního portu WebSocket vydává kód chyby připojení (ERR_CONNECTION_REFUSED), zatímco v případě aktivního — kód chyby při navazování spojení.
Kromě skenování portů může WebSocket také být použit pro útoky na systémy webových vývojářů, kteří spouštějí na místním systému WebSocket handler pro aplikace React. Vnější web může procházet síťové porty, definovat přítomnost takového handleru a připojit se k němu. Pokud vývojář udělá chybu, útočník může získat obsah ladících dat, která mohou obsahovat kusy citlivých informací.
Zdroj: opennet.ru
