ຊ່ອງໂຫວ່ໃນ Adblock Plus ທີ່ອະນຸຍາດໃຫ້ປະຕິບັດລະຫັດໃນເວລາທີ່ໃຊ້ການກັ່ນຕອງຄໍາຖາມ

ໃນຕົວບລັອກໂຄສະນາ Adblock Plus ກໍານົດ ຄວາມ​ສ່ຽງ​, ອະນຸຍາດ ຈັດຕັ້ງການປະຕິບັດລະຫັດ JavaScript ໃນສະພາບການຂອງສະຖານທີ່, ໃນກໍລະນີຂອງການນໍາໃຊ້ຕົວກອງທີ່ບໍ່ໄດ້ຮັບການຢັ້ງຢືນທີ່ກະກຽມໂດຍຜູ້ໂຈມຕີ (ຕົວຢ່າງເຊັ່ນ, ເມື່ອເຊື່ອມຕໍ່ຊຸດຂອງພາກສ່ວນທີສາມຫຼືການທົດແທນກົດລະບຽບໃນລະຫວ່າງການໂຈມຕີ MITM).

ຜູ້ຂຽນລາຍການທີ່ມີຊຸດຂອງຕົວກອງສາມາດຈັດລະບຽບການປະຕິບັດລະຫັດຂອງພວກເຂົາໃນສະພາບການຂອງສະຖານທີ່ທີ່ເປີດໂດຍຜູ້ໃຊ້ໂດຍການເພີ່ມກົດລະບຽບກັບຜູ້ປະກອບການ "ຂຽນຄືນໃຫມ່", ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສາມາດປ່ຽນແທນສ່ວນຫນຶ່ງຂອງ URL. ຜູ້ປະຕິບັດການຂຽນຄືນໃຫມ່ບໍ່ອະນຸຍາດໃຫ້ທ່ານປ່ຽນໂຮດຢູ່ໃນ URL, ແຕ່ມັນຊ່ວຍໃຫ້ທ່ານສາມາດຈັດການການໂຕ້ຖຽງຄໍາຮ້ອງຂໍໄດ້ຢ່າງເສລີ. ພຽງແຕ່ຂໍ້ຄວາມສາມາດຖືກນໍາໃຊ້ເປັນຫນ້າກາກທົດແທນ, ແລະການທົດແທນຂອງ script, objects ແລະ tags ເອກະສານຍ່ອຍແມ່ນອະນຸຍາດໃຫ້. ຖືກບລັອກ.

ຢ່າງໃດກໍຕາມ, ການປະຕິບັດລະຫັດສາມາດເຮັດໄດ້ໃນການແກ້ໄຂ.
ບາງສະຖານທີ່, ລວມທັງ Google Maps, Gmail, ແລະ Google Images, ໃຊ້ເຕັກນິກການໂຫຼດບລັອກ JavaScript ທີ່ສາມາດປະຕິບັດໄດ້ແບບເຄື່ອນໄຫວ, ຖ່າຍທອດໃນຮູບແບບຂອງຂໍ້ຄວາມເປົ່າ. ຖ້າເຄື່ອງແມ່ຂ່າຍອະນຸຍາດໃຫ້ການປ່ຽນເສັ້ນທາງການຮ້ອງຂໍ, ຫຼັງຈາກນັ້ນການສົ່ງຕໍ່ໄປຫາເຈົ້າພາບອື່ນສາມາດບັນລຸໄດ້ໂດຍການປ່ຽນຕົວກໍານົດ URL (ຕົວຢ່າງ, ໃນສະພາບການຂອງ Google, ການປ່ຽນເສັ້ນທາງສາມາດເຮັດໄດ້ໂດຍຜ່ານ API "google.com/search"). ນອກເຫນືອຈາກເຈົ້າພາບທີ່ອະນຸຍາດໃຫ້ການປ່ຽນເສັ້ນທາງ, ການໂຈມຕີຍັງສາມາດດໍາເນີນການຕໍ່ກັບການບໍລິການທີ່ອະນຸຍາດໃຫ້ປະກາດເນື້ອຫາຂອງຜູ້ໃຊ້ (ລະຫັດໂຮດຕິ້ງ, ເວທີການປະກາດບົດຄວາມ, ແລະອື່ນໆ).

ວິທີການໂຈມຕີທີ່ສະເໜີໃຫ້ສົ່ງຜົນກະທົບຕໍ່ໜ້າເວັບທີ່ໂຫຼດລະຫັດ JavaScript ແບບໄດນາມິກ (ຕົວຢ່າງ, ຜ່ານ XMLHttpRequest ຫຼື Fetch) ແລະຫຼັງຈາກນັ້ນປະຕິບັດພວກມັນ. ຂໍ້ຈໍາກັດທີ່ສໍາຄັນອີກອັນຫນຶ່ງແມ່ນຄວາມຕ້ອງການທີ່ຈະນໍາໃຊ້ການປ່ຽນເສັ້ນທາງຫຼືວາງຂໍ້ມູນ arbitrary ຢູ່ຂ້າງຂອງເຄື່ອງແມ່ຂ່າຍຕົ້ນສະບັບທີ່ອອກຊັບພະຍາກອນ. ຢ່າງໃດກໍຕາມ, ເພື່ອສະແດງໃຫ້ເຫັນເຖິງຄວາມກ່ຽວຂ້ອງຂອງການໂຈມຕີ, ມັນສະແດງໃຫ້ເຫັນວິທີການຈັດລະບຽບການປະຕິບັດລະຫັດຂອງທ່ານໃນເວລາເປີດ maps.google.com, ໂດຍໃຊ້ການປ່ຽນເສັ້ນທາງຜ່ານ "google.com/search".

ການແກ້ໄຂແມ່ນຍັງຢູ່ໃນການກະກຽມ. ບັນຫາຍັງມີຜົນກະທົບຕໍ່ຜູ້ສະກັດກັ້ນ adblock и uBlock. ຕົວສະກັດຕົ້ນກໍາເນີດ uBlock ບໍ່ໄດ້ຮັບຜົນກະທົບຈາກບັນຫາ, ເພາະວ່າມັນບໍ່ໄດ້ສະຫນັບສະຫນູນຕົວປະຕິບັດການ "ຂຽນຄືນໃຫມ່". ໃນເວລາຫນຶ່ງຜູ້ຂຽນຂອງ uBlock Origin
ປະຕິເສດ ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການຂຽນຄືນໃຫມ່, ອ້າງເຖິງບັນຫາຄວາມປອດໄພທີ່ອາດຈະເກີດຂຶ້ນແລະຂໍ້ຈໍາກັດລະດັບເຈົ້າພາບທີ່ບໍ່ພຽງພໍ (ທາງເລືອກ querystrip ໄດ້ຖືກສະເຫນີແທນທີ່ຈະຂຽນໃຫມ່ເພື່ອເຮັດຄວາມສະອາດຕົວກໍານົດການສອບຖາມແທນທີ່ຈະປ່ຽນແທນມັນ).

ນັກພັດທະນາ Adblock Plus ຖືວ່າການໂຈມຕີທີ່ແທ້ຈິງແມ່ນບໍ່ເປັນໄປໄດ້, ຍ້ອນວ່າການປ່ຽນແປງທັງຫມົດໃນບັນຊີລາຍຊື່ມາດຕະຖານຂອງກົດລະບຽບໄດ້ຖືກທົບທວນຄືນ, ແລະການເຊື່ອມຕໍ່ບັນຊີລາຍຊື່ຂອງພາກສ່ວນທີສາມແມ່ນຫາຍາກທີ່ສຸດໃນບັນດາຜູ້ໃຊ້. ການທົດແທນກົດລະບຽບຜ່ານ MITM ແມ່ນຖືກປ້ອງກັນໂດຍການນໍາໃຊ້ HTTPS ໃນຕອນຕົ້ນສໍາລັບການດາວໂຫຼດລາຍການບລັອກມາດຕະຖານ (ສໍາລັບລາຍການອື່ນໆ, ມັນຖືກວາງແຜນທີ່ຈະຫ້າມການດາວໂຫລດຜ່ານ HTTP ໃນການປ່ອຍຕົວໃນອະນາຄົດ). ຄໍາສັ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອສະກັດກັ້ນການໂຈມຕີໃນດ້ານຂ້າງເວັບໄຊທ໌ CSP (ນະໂຍບາຍຄວາມປອດໄພຂອງເນື້ອຫາ), ໂດຍຜ່ານທີ່ທ່ານສາມາດກໍານົດຢ່າງຈະແຈ້ງໂຮດຈາກທີ່ຊັບພະຍາກອນພາຍນອກສາມາດໂຫລດໄດ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru