So-leòntachd ann an Adblock Plus a leigeas le còd a chuir an gnìomh nuair a bhios tu a ’cleachdadh sìoltachain teagmhach

Ann an neach-bacadh sanasachd Adblock Plus aithnichte so-leòntachd, a' ceadachadh cuir air dòigh cur an gnìomh còd JavaScript ann an co-theacsa làraich, a thaobh a bhith a’ cleachdadh sìoltachain neo-dhearbhaichte air an ullachadh le luchd-ionnsaigh (mar eisimpleir, nuair a bhios tu a’ ceangal sheataichean de riaghailtean treas-phàrtaidh no tro bhith a’ cur an àite riaghailtean rè ionnsaigh MITM).

Faodaidh ùghdaran liostaichean le seataichean de shìoltachain cur an gnìomh a’ chòd aca a chuir air dòigh ann an co-theacsa làraich a dh’ fhosgail an neach-cleachdaidh le bhith a’ cur riaghailtean ris a’ ghnìomhaiche "ath-sgrìobh", a leigeas leat pàirt den URL a chur na àite. Cha leig an gnìomhaiche ath-sgrìobhaidh leat an t-òstair san URL a chuir na àite, ach leigidh e leat argamaidean an iarrtais a làimhseachadh gu saor. Chan eil ach teacsa ceadaichte mar masg ùr, agus tha e ceadaichte tagaichean sgriobt, nì agus fo-sgrìobhainn a chuir na àite air a bhacadh.

Ach, faodar coileanadh còd a choileanadh ann an dòigh-obrach.
Bidh cuid de làraich, a’ gabhail a-steach Google Maps, Gmail, agus Google Images, a’ cleachdadh an dòigh air blocaichean JavaScript so-ghnìomhaichte a luchdachadh, air an tar-chuir ann an cruth teacsa lom. Ma cheadaicheas am frithealaiche ath-stiùireadh iarrtas, faodar an cur air adhart gu òstair eile le bhith ag atharrachadh paramadairean an URL (mar eisimpleir, ann an co-theacs Google, faodar ath-stiùireadh a dhèanamh tron ​​API"google.com/lorg"). A bharrachd air luchd-aoigheachd a leigeas le ath-stiùireadh, faodar ionnsaigh a dhèanamh cuideachd an aghaidh sheirbheisean a leigeas le susbaint luchd-cleachdaidh a phostadh (aoigheachd còd, àrd-ùrlaran postadh artaigil, msaa).

Chan eil an dòigh ionnsaigh a thathar a’ moladh a’ toirt buaidh ach air duilleagan a bhios gu fiùghantach a’ luchdachadh sreathan de chòd JavaScript (mar eisimpleir, tro XMLHttpRequest or Fetch) agus an uairsin gan cur an gnìomh. Is e cuingealachadh cudromach eile an fheum air ath-sheòladh a chleachdadh no dàta neo-riaghailteach a chuir air taobh an fhrithealaiche tùsail a tha a’ toirt a-mach an goireas. Ach, gus iomchaidheachd an ionnsaigh a nochdadh, thathas a’ sealltainn mar a chuireas tu an gnìomh do chòd air dòigh nuair a dh’ fhosglas tu maps.google.com, a’ cleachdadh ath-sheòladh tro “google.com/search”.

Tha an rèiteachadh fhathast ga ullachadh. Tha an duilgheadas cuideachd a 'toirt buaidh air luchd-bacadh AdBlock и uBlock. Chan eil an duilgheadas a’ toirt buaidh air an neach-bacadh uBlock Origin, leis nach eil e a’ toirt taic don ghnìomhaiche “ath-sgrìobhadh”. Aig aon àm bha an t-ùghdar aig uBlock Origin
dhiùlt cuir taic ris airson ath-sgrìobhadh, ag ainmeachadh cùisean tèarainteachd a dh’ fhaodadh a bhith ann agus gu leòr cuingealachaidhean aig ìre aoigheachd (chaidh roghainn ceiste a mholadh an àite ath-sgrìobhadh gus paramadairean ceist a ghlanadh an àite a bhith gan cur nan àite).

Tha luchd-leasachaidh Adblock Plus den bheachd gu bheil fìor ionnsaighean eu-coltach, leis gu bheilear ag ath-sgrùdadh a h-uile atharrachadh air na liostaichean àbhaisteach de riaghailtean, agus gu bheil ceangal liostaichean treas-phàrtaidh gu math tearc am measg luchd-cleachdaidh. Tha casg air riaghailtean a chuir an àite tro MITM le bhith a’ cleachdadh HTTPS gu bunaiteach airson liostaichean bloca àbhaisteach a luchdachadh sìos (airson liostaichean eile thathas an dùil casg a chuir air luchdachadh sìos tro HTTP ann am brath san àm ri teachd). Faodar stiùiridhean a chleachdadh gus ionnsaigh a bhacadh air taobh na làraich CSP (Poileasaidh Tèarainteachd Susbaint), tron ​​​​urrainn dhut dearbhadh soilleir a dhèanamh air na h-aoighean às an urrainnear goireasan bhon taobh a-muigh a luchdachadh.

Source: fosgailtenet.ru