ʻO ka Vulnerability i Adblock Plus e hiki ai ke hoʻokō i nā code i ka wā e hoʻohana ai i nā kānana kānalua

Ma Adblock Plus ad blocker ʻike ʻia palupalu, e ae ana hoʻonohonoho i ka hoʻokō ʻana i ka code JavaScript ma ka pōʻaiapili o nā pūnaewele, i ka hihia o ka hoʻohana ʻana i nā kānana i hōʻoia ʻole ʻia i hoʻomākaukau ʻia e nā mea hoʻouka (no ka laʻana, i ka wā e hoʻopili ai i nā pūʻulu o nā ʻaoʻao ʻekolu a i ʻole ke hoʻololi ʻana i nā lula i ka wā o kahi hoʻouka MITM).

Hiki i nā mea kākau o nā papa inoa me nā pūʻulu kānana ke hoʻonohonoho i ka hoʻokō ʻana i kā lākou code i loko o ka pōʻaiapili o nā pūnaewele i wehe ʻia e ka mea hoʻohana ma ka hoʻohui ʻana i nā lula me ka mea hoʻohana "e kākau hou", hiki iā ʻoe ke hoʻololi i kahi hapa o ka URL. ʻAʻole ʻae ka mea hoʻohana kākau hou iā ʻoe e pani i ka mea hoʻokipa ma ka URL, akā ʻae ia iā ʻoe e hoʻololi manuahi i nā manaʻo noi. Hiki ke hoʻohana ʻia ke kikokikona ma ke ʻano he pale pale, a ua ʻae ʻia ke hoʻololi ʻana i ka palapala, mea a me nā hōʻailona subdocument. ālai ʻia.

Eia naʻe, hiki ke hoʻokō ʻia ka hoʻokō code ma kahi workaround.
Ke hoʻohana nei kekahi mau pūnaewele, me Google Maps, Gmail, a me nā kiʻi Google, i ke ʻano o ka hoʻouka ʻana i nā poloka JavaScript hiki ke hoʻokō ʻia, i hoʻouna ʻia ma ke ʻano he kikokikona. Inā ʻae ka server i ka hoʻihoʻi ʻana i ke noi, a laila hiki ke hoʻokō ʻia ka hoʻouna ʻana i kahi host ʻē aʻe ma o ka hoʻololi ʻana i nā ʻāpana URL (no ka laʻana, ma ka pōʻaiapili o Google, hiki ke hana hou ʻia ma o ka API "google.com/search"). Ma waho aʻe o nā pūʻali e ʻae i ka hoʻohuli hou ʻana, hiki ke hoʻouka ʻia kahi hoʻouka kaua e kūʻē i nā lawelawe e ʻae ai i ka hoʻouna ʻana i nā ʻike mea hoʻohana (hoʻolaha code, nā kahua hoʻolaha ʻatikala, etc.).

Hoʻopili wale ke ʻano hoʻouka kaua i nā ʻaoʻao e hoʻouka ikaika ana i nā kaula JavaScript (no ka laʻana, ma o XMLHttpRequest a i ʻole Fetch) a laila hoʻokō iā lākou. ʻO kekahi palena koʻikoʻi ʻo ka pono e hoʻohana i ka hoʻihoʻi ʻana a i ʻole ke kau ʻana i nā ʻikepili kūʻokoʻa ma ka ʻaoʻao o ke kikowaena kumu e hoʻopuka ana i ka kumuwaiwai. Eia nō naʻe, i mea e hōʻike ai i ka pili o ka hoʻouka ʻana, hōʻike ʻia pehea e hoʻonohonoho ai i ka hoʻokō ʻana i kāu code i ka wā e wehe ai i ka maps.google.com, me ka hoʻohana ʻana i kahi redirect ma o "google.com/search".

Ke hoʻomākaukau mau nei ka hoʻoponopono. Pili pū ka pilikia i nā blockers AdBlock и uBlock. ʻAʻole pili ka uBlock Origin blocker i ka pilikia, no ka mea ʻaʻole ia e kākoʻo i ka mea hana "rewrite". I kekahi manawa ka mea kākau o uBlock Origin
hoole e hoʻohui i ke kākoʻo no ka kākau hou ʻana, e hōʻike ana i nā pilikia palekana a me ka lawa ʻole o ka pae hoʻokipa (ua koho ʻia kahi koho querystrip ma mua o ka kākau hou ʻana e hoʻomaʻemaʻe i nā ʻāpana nīnau ma mua o ka hoʻololi ʻana iā lākou).

Manaʻo nā mea hoʻomohala Adblock Plus ʻaʻole hiki ke hoʻouka maoli ʻia, no ka mea, nānā ʻia nā loli āpau i nā papa inoa maʻamau o nā lula, a ʻo ka hoʻopili ʻana i nā papa inoa ʻaoʻao ʻekolu he mea kakaikahi loa i waena o nā mea hoʻohana. Kāohi ʻia ka hoʻololi ʻana i nā lula ma o MITM e ka hoʻohana maʻamau o HTTPS no ka hoʻoiho ʻana i nā papa inoa poloka maʻamau (no nā papa inoa ʻē aʻe ua hoʻolālā ʻia e pāpā i ka hoʻoiho ʻana ma o HTTP i ka wā e hiki mai ana). Hiki ke hoʻohana ʻia nā kuhikuhi no ka pale ʻana i kahi hoʻouka kaua ma ka ʻaoʻao pūnaewele CSP (Content Security Policy), kahi e hiki ai iā ʻoe ke hoʻoholo pololei i nā pūʻali i hiki ke hoʻouka ʻia nā kumuwaiwai o waho.

Source: opennet.ru

Pākuʻi i ka manaʻo hoʻopuka