એડબ્લોક પ્લસમાં નબળાઈ જે શંકાસ્પદ ફિલ્ટર્સનો ઉપયોગ કરતી વખતે કોડ એક્ઝિક્યુશનને મંજૂરી આપે છે

એડબ્લોક પ્લસ એડ બ્લોકરમાં ઓળખાયેલ નબળાઈ, પરવાનગી આપે છે જાવાસ્ક્રિપ્ટ કોડના અમલીકરણને સાઇટ્સના સંદર્ભમાં ગોઠવો, હુમલાખોરો દ્વારા તૈયાર કરવામાં આવેલ વણચકાસાયેલ ફિલ્ટર્સનો ઉપયોગ કરવાના કિસ્સામાં (ઉદાહરણ તરીકે, જ્યારે તૃતીય-પક્ષ નિયમોના સેટને જોડતી વખતે અથવા MITM હુમલા દરમિયાન નિયમોના અવેજી દ્વારા).

ફિલ્ટર્સના સેટ સાથેની સૂચિના લેખકો ઓપરેટર સાથે નિયમો ઉમેરીને વપરાશકર્તા દ્વારા ખોલવામાં આવેલી સાઇટ્સના સંદર્ભમાં તેમના કોડના અમલને ગોઠવી શકે છે.ફરીથી લખો", જે તમને URL નો ભાગ બદલવાની પરવાનગી આપે છે. પુનર્લેખન ઓપરેટર તમને URL માં હોસ્ટને બદલવાની મંજૂરી આપતું નથી, પરંતુ તે તમને વિનંતીની દલીલોને મુક્તપણે ચાલાકી કરવાની મંજૂરી આપે છે. રિપ્લેસમેન્ટ માસ્ક તરીકે ફક્ત ટેક્સ્ટને જ મંજૂરી છે, અને સ્ક્રિપ્ટ, ઑબ્જેક્ટ અને સબડોક્યુમેન્ટ ટૅગ્સની અવેજીમાં મંજૂરી છે અવરોધિત.

જો કે, કોડ એક્ઝેક્યુશન વર્કઅરાઉન્ડમાં પ્રાપ્ત કરી શકાય છે.
ગૂગલ મેપ્સ, જીમેલ અને ગૂગલ ઈમેજીસ સહિતની કેટલીક સાઈટ, એક્ઝેક્યુટેબલ જાવાસ્ક્રિપ્ટ બ્લોક્સને ડાયનેમિકલી લોડ કરવાની ટેક્નિકનો ઉપયોગ કરે છે, જે એકદમ ટેક્સ્ટના રૂપમાં ટ્રાન્સમિટ થાય છે. જો સર્વર વિનંતી રીડાયરેક્ટ કરવાની મંજૂરી આપે છે, તો પછી URL પેરામીટર્સ બદલીને બીજા હોસ્ટને ફોરવર્ડ કરી શકાય છે (ઉદાહરણ તરીકે, Google ના સંદર્ભમાં, API દ્વારા રીડાયરેક્ટ કરી શકાય છે "google.com/search"). રિડાયરેક્શનની મંજૂરી આપતા હોસ્ટ્સ ઉપરાંત, યુઝર કન્ટેન્ટ (કોડ હોસ્ટિંગ, લેખ પોસ્ટિંગ પ્લેટફોર્મ વગેરે) પોસ્ટ કરવાની મંજૂરી આપતી સેવાઓ સામે પણ હુમલો કરી શકાય છે.

પ્રસ્તાવિત હુમલો પદ્ધતિ ફક્ત તે પૃષ્ઠોને અસર કરે છે જે ગતિશીલ રીતે JavaScript કોડની સ્ટ્રિંગ્સ લોડ કરે છે (ઉદાહરણ તરીકે, XMLHttpRequest અથવા Fetch દ્વારા) અને પછી તેને એક્ઝિક્યુટ કરે છે. અન્ય મહત્વની મર્યાદા એ રીડાયરેક્ટનો ઉપયોગ કરવાની અથવા મૂળ સર્વરની બાજુમાં મનસ્વી ડેટા મૂકવાની જરૂરિયાત છે. જો કે, હુમલાની સુસંગતતા દર્શાવવા માટે, “google.com/search” દ્વારા રીડાયરેક્ટનો ઉપયોગ કરીને, maps.google.com ખોલતી વખતે તમારા કોડના અમલીકરણને કેવી રીતે ગોઠવવું તે બતાવવામાં આવ્યું છે.

સુધારણા હજુ તૈયારીમાં છે. સમસ્યા બ્લોકરને પણ અસર કરે છે એડબ્લોક и યુબ્લોક. uBlock ઑરિજિન બ્લૉકર સમસ્યાથી પ્રભાવિત નથી, કારણ કે તે "રીરાઇટ" ઑપરેટરને સપોર્ટ કરતું નથી. એક સમયે uBlock મૂળના લેખક
ના પાડી સંભવિત સુરક્ષા મુદ્દાઓ અને અપર્યાપ્ત હોસ્ટ-લેવલ પ્રતિબંધોને ટાંકીને પુનઃલેખન માટે સમર્થન ઉમેરો (ક્વેરી પેરામીટર્સને બદલવાને બદલે તેને સાફ કરવા માટે ફરીથી લખવાને બદલે ક્વેરીસ્ટ્રીપ વિકલ્પ પ્રસ્તાવિત કરવામાં આવ્યો હતો).

એડબ્લોક પ્લસ ડેવલપર્સ વાસ્તવિક હુમલાઓને અસંભવિત માને છે, કારણ કે નિયમોની પ્રમાણભૂત સૂચિમાંના તમામ ફેરફારોની સમીક્ષા કરવામાં આવે છે, અને વપરાશકર્તાઓમાં તૃતીય-પક્ષ સૂચિઓનું જોડાણ અત્યંત દુર્લભ છે. MITM દ્વારા નિયમોની અવેજીમાં પ્રમાણભૂત બ્લોક સૂચિઓ ડાઉનલોડ કરવા માટે HTTPS ના મૂળભૂત ઉપયોગ દ્વારા અટકાવવામાં આવે છે (અન્ય સૂચિઓ માટે તે ભવિષ્યના પ્રકાશનમાં HTTP દ્વારા ડાઉનલોડ કરવા પર પ્રતિબંધ મૂકવાની યોજના છે). સાઇટ બાજુ પરના હુમલાને રોકવા માટે નિર્દેશોનો ઉપયોગ કરી શકાય છે CSP (સામગ્રી સુરક્ષા નીતિ), જેના દ્વારા તમે બાહ્ય સંસાધનો લોડ કરી શકાય તેવા હોસ્ટને સ્પષ્ટપણે નિર્ધારિત કરી શકો છો.

સોર્સ: opennet.ru