ភាពងាយរងគ្រោះនៅក្នុង Adblock Plus ដែលអនុញ្ញាតឱ្យដំណើរការកូដនៅពេលប្រើតម្រងដែលអាចសួរបាន។

នៅក្នុង Adblock Plus ad blocker កំណត់អត្តសញ្ញាណ ភាពងាយរងគ្រោះ, អនុញ្ញាត រៀបចំការប្រតិបត្តិកូដ JavaScript នៅក្នុងបរិបទនៃគេហទំព័រ ក្នុងករណីប្រើប្រាស់តម្រងដែលមិនបានផ្ទៀងផ្ទាត់ដែលរៀបចំដោយអ្នកវាយប្រហារ (ឧទាហរណ៍ នៅពេលភ្ជាប់សំណុំនៃច្បាប់ភាគីទីបី ឬតាមរយៈការជំនួសច្បាប់កំឡុងពេលការវាយប្រហារ MITM)។

អ្នកនិពន្ធនៃបញ្ជីដែលមានសំណុំនៃតម្រងអាចរៀបចំការប្រតិបត្តិនៃកូដរបស់ពួកគេនៅក្នុងបរិបទនៃគេហទំព័រដែលបើកដោយអ្នកប្រើប្រាស់ដោយបន្ថែមច្បាប់ជាមួយប្រតិបត្តិករ "សរសេរឡើងវិញ" ដែលអនុញ្ញាតឱ្យអ្នកជំនួសផ្នែកនៃ URL ។ ប្រតិបត្តិករសរសេរឡើងវិញមិនអនុញ្ញាតឱ្យអ្នកជំនួសម៉ាស៊ីននៅក្នុង URL នោះទេប៉ុន្តែវាអនុញ្ញាតឱ្យអ្នករៀបចំអាគុយម៉ង់សំណើដោយសេរី។ មានតែអត្ថបទប៉ុណ្ណោះដែលអាចប្រើជារបាំងជំនួស ហើយការជំនួសស្គ្រីប វត្ថុ និងស្លាកឯកសាររងត្រូវបានអនុញ្ញាត រារាំង.

ទោះយ៉ាងណាក៏ដោយ ការប្រតិបត្តិកូដអាចសម្រេចបានក្នុងវិធីដោះស្រាយ។
គេហទំព័រមួយចំនួន រួមទាំង Google Maps, Gmail និង Google Images ប្រើបច្ចេកទេសនៃការផ្ទុកប្លុក JavaScript ដែលអាចប្រតិបត្តិបានដោយថាមវន្ត ដែលបញ្ជូនក្នុងទម្រង់ជាអត្ថបទទទេ។ ប្រសិនបើម៉ាស៊ីនមេអនុញ្ញាតឱ្យបញ្ជូនបន្តសំណើ នោះការបញ្ជូនបន្តទៅម៉ាស៊ីនផ្សេងទៀតអាចសម្រេចបានដោយការផ្លាស់ប្តូរប៉ារ៉ាម៉ែត្រ URL (ឧទាហរណ៍ នៅក្នុងបរិបទរបស់ Google ការប្តូរទិសអាចត្រូវបានធ្វើឡើងតាមរយៈ API "google.com/search") បន្ថែមពីលើម៉ាស៊ីនដែលអនុញ្ញាតឱ្យប្តូរទិសដៅ ការវាយប្រហារក៏អាចត្រូវបានអនុវត្តប្រឆាំងនឹងសេវាកម្មដែលអនុញ្ញាតឱ្យបង្ហោះមាតិកាអ្នកប្រើប្រាស់ (កូដបង្ហោះ វេទិកាបង្ហោះអត្ថបទ។ល។)។

វិធីសាស្ត្រវាយប្រហារដែលបានស្នើឡើងប៉ះពាល់តែទំព័រដែលផ្ទុកខ្សែអក្សរនៃកូដ JavaScript ថាមវន្ត (ឧទាហរណ៍ តាមរយៈ XMLHttpRequest ឬ Fetch) ហើយបន្ទាប់មកប្រតិបត្តិពួកវា។ ការកំណត់សំខាន់មួយទៀតគឺតម្រូវការប្រើប្រាស់ការបញ្ជូនបន្ត ឬដាក់ទិន្នន័យតាមអំពើចិត្តនៅផ្នែកម្ខាងនៃម៉ាស៊ីនមេដើមដែលចេញធនធាន។ ទោះយ៉ាងណាក៏ដោយ ដើម្បីបង្ហាញពីភាពពាក់ព័ន្ធនៃការវាយប្រហារ វាត្រូវបានបង្ហាញពីរបៀបរៀបចំការប្រតិបត្តិកូដរបស់អ្នកនៅពេលបើក maps.google.com ដោយប្រើការបញ្ជូនបន្តតាមរយៈ “google.com/search”។

ការ​ជួសជុល​នៅ​តែ​ស្ថិត​ក្នុង​ការ​រៀបចំ។ បញ្ហាក៏ប៉ះពាល់ដល់អ្នកទប់ស្កាត់ផងដែរ។ AdBlock и uBlock. កម្មវិធីទប់ស្កាត់ uBlock Origin មិនត្រូវបានប៉ះពាល់ដោយបញ្ហានោះទេ ព្រោះវាមិនគាំទ្រប្រតិបត្តិករ "សរសេរឡើងវិញ"។ នៅពេលមួយអ្នកនិពន្ធនៃ uBlock Origin
បដិសេធ បន្ថែមការគាំទ្រសម្រាប់ការសរសេរឡើងវិញ ដោយលើកឡើងពីបញ្ហាសុវត្ថិភាពដែលអាចកើតមាន និងការរឹតបន្តឹងកម្រិតម៉ាស៊ីនមិនគ្រប់គ្រាន់ (ជម្រើស querystrip ត្រូវបានស្នើឡើងជំនួសឱ្យការសរសេរឡើងវិញដើម្បីសម្អាតប៉ារ៉ាម៉ែត្រសំណួរជំនួសឱ្យការជំនួសពួកវា)។

អ្នកអភិវឌ្ឍន៍ Adblock Plus ចាត់ទុកថាការវាយប្រហារពិតប្រាកដគឺមិនទំនងនោះទេ ដោយសារការផ្លាស់ប្តូរទាំងអស់ចំពោះបញ្ជីស្តង់ដារនៃច្បាប់ត្រូវបានពិនិត្យ ហើយការភ្ជាប់បញ្ជីភាគីទីបីគឺកម្រមានណាស់ក្នុងចំណោមអ្នកប្រើប្រាស់។ ការជំនួសច្បាប់តាមរយៈ MITM ត្រូវបានរារាំងដោយការប្រើប្រាស់ HTTPS លំនាំដើមសម្រាប់ការទាញយកបញ្ជីប្លុកស្តង់ដារ (សម្រាប់បញ្ជីផ្សេងទៀត វាត្រូវបានគ្រោងនឹងហាមឃាត់ការទាញយកតាមរយៈ HTTP នៅក្នុងការចេញផ្សាយនាពេលខាងមុខ)។ ការណែនាំអាចត្រូវបានប្រើដើម្បីទប់ស្កាត់ការវាយប្រហារនៅផ្នែកខាងគេហទំព័រ CSP (គោលការណ៍សុវត្ថិភាពខ្លឹមសារ) តាមរយៈការដែលអ្នកអាចកំណត់យ៉ាងច្បាស់នូវម៉ាស៊ីនដែលធនធានខាងក្រៅអាចត្រូវបានផ្ទុក។

ប្រភព: opennet.ru