ຄື້ນຂອງ add-ons ທີ່ເປັນອັນຕະລາຍຢູ່ໃນລາຍການ Firefox, ເຊື່ອງຢູ່ຫລັງ Adobe Flash

Firefox add-ons directory (AMO) ຄົງທີ່ ການພິມເຜີຍແຜ່ມະຫາຊົນຂອງ add-ons ທີ່ເປັນອັນຕະລາຍທີ່ເຊື່ອງຢູ່ເບື້ອງຫຼັງໂຄງການທີ່ມີຊື່ສຽງ. ຕົວຢ່າງເຊັ່ນ, ໄດເລກະທໍລີມີ add-ons ທີ່ເປັນອັນຕະລາຍ "Adobe Flash Player", "ublock origin Pro", "Adblock Flash Player", ແລະອື່ນໆ.

ເນື່ອງຈາກ add-ons ດັ່ງກ່າວຖືກລຶບອອກຈາກລາຍການ, ຜູ້ໂຈມຕີຈະສ້າງບັນຊີໃຫມ່ທັນທີແລະເປັນເຈົ້າພາບ add-ons ຂອງພວກເຂົາຄືນໃຫມ່. ຕົວຢ່າງ, ບັນຊີໄດ້ຖືກສ້າງຂື້ນສອງສາມຊົ່ວໂມງກ່ອນຫນ້ານີ້ ຜູ້ໃຊ້ Firefox 15018635, ພາຍໃຕ້ການວາງ add-ons "Youtube Adblock", "Ublock plus", "Adblock Plus 2019" ຖືກວາງໄວ້. ປາກົດຂື້ນ, ຄໍາອະທິບາຍສໍາລັບ add-ons ໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນເພື່ອຮັບປະກັນຜົນຜະລິດຂອງພວກເຂົາໃນດ້ານເທິງສໍາລັບຄໍາຖາມຄົ້ນຫາ "Adobe Flash Player" ແລະ "Adobe Flash".

ເມື່ອຕິດຕັ້ງແລ້ວ, add-ons ຮ້ອງຂໍການອະນຸຍາດໃນການເຂົ້າເຖິງຂໍ້ມູນທັງຫມົດຂອງເວັບໄຊທ໌ທີ່ທ່ານເບິ່ງ. ໃນໄລຍະການເຮັດວຽກ, keylogger ໄດ້ຖືກເປີດຕົວ, ເຊິ່ງສົ່ງໄປຫາ theridgeatdanbury.com host ຂໍ້ມູນຂ່າວສານກ່ຽວກັບການຕື່ມແບບຟອມແລະ Cookies ທີ່ກໍານົດໄວ້. ຊື່ໄຟລ໌ການຕິດຕັ້ງ add-on ແມ່ນ "adpbe_flash_player-*.xpi" ຫຼື "player_downloader-*.xpi". ລະຫັດ script ພາຍໃນ add-ons ແມ່ນແຕກຕ່າງກັນເລັກນ້ອຍ, ແຕ່ການກະທໍາທີ່ເປັນອັນຕະລາຍທີ່ພວກເຂົາປະຕິບັດແມ່ນຈະແຈ້ງແລະບໍ່ຖືກເຊື່ອງໄວ້.

ອາດຈະເປັນ, ການຂາດການນໍາໃຊ້ເຕັກນິກສໍາລັບການເຊື່ອງກິດຈະກໍາທີ່ເປັນອັນຕະລາຍແລະລະຫັດທີ່ງ່າຍດາຍທີ່ສຸດເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຂ້າມຜ່ານລະບົບການທົບທວນເບື້ອງຕົ້ນອັດຕະໂນມັດສໍາລັບ add-ons. ໃນຂະນະດຽວກັນ, ມັນບໍ່ຊັດເຈນວ່າຄວາມຈິງຂອງການສົ່ງຂໍ້ມູນຢ່າງຈະແຈ້ງແລະບໍ່ເຊື່ອງໄວ້ຈາກ add-on ໄປຫາເຈົ້າພາບພາຍນອກຖືກລະເລີຍໃນລະຫວ່າງການກວດສອບອັດຕະໂນມັດ.

ຈື່ໄວ້ວ່າ, ອີງຕາມ Mozilla, ການແນະນໍາການຢັ້ງຢືນລາຍເຊັນດິຈິຕອນຈະສະກັດກັ້ນການແຜ່ກະຈາຍຂອງ add-ons ທີ່ເປັນອັນຕະລາຍແລະ spying ສໍາລັບຜູ້ໃຊ້. ບາງນັກພັດທະນາ plugin ບໍ່ເຫັນດີ ກັບຕໍາແຫນ່ງນີ້ແລະເຊື່ອວ່າກົນໄກຂອງການກວດສອບການບັງຄັບໂດຍລາຍເຊັນດິຈິຕອນພຽງແຕ່ສ້າງຄວາມຫຍຸ້ງຍາກສໍາລັບນັກພັດທະນາແລະນໍາໄປສູ່ການເພີ່ມຂື້ນໃນໄລຍະເວລາທີ່ມັນໃຊ້ເວລາເພື່ອນໍາເອົາການແກ້ໄຂທີ່ຖືກຕ້ອງໃຫ້ກັບຜູ້ໃຊ້, ໂດຍບໍ່ມີຜົນກະທົບຕໍ່ຄວາມປອດໄພໃນທາງໃດກໍ່ຕາມ. ມີຫຼາຍ trivial ແລະຈະແຈ້ງ ການຕ້ອນຮັບ ເພື່ອ bypass ລະບົບຂອງການກວດສອບອັດຕະໂນມັດສໍາລັບການເພີ່ມເຕີມທີ່ອະນຸຍາດໃຫ້ທ່ານ silently ໃສ່ລະຫັດເປັນອັນຕະລາຍ, ສໍາລັບການຍົກຕົວຢ່າງ, ໂດຍຜ່ານການສ້າງຕັ້ງຂອງການດໍາເນີນງານໃນການບິນໂດຍການ concatenating ຫຼາຍສາຍກັບການປະຕິບັດຕໍ່ໄປຂອງສາຍຜົນໄດ້ຮັບໂດຍການໂທຫາ eval. ຕໍາແຫນ່ງຂອງ Mozilla ລົງມາ ເຖິງຄວາມຈິງທີ່ວ່າຜູ້ຂຽນຂອງ add-ons ທີ່ເປັນອັນຕະລາຍສ່ວນຫຼາຍແມ່ນຂີ້ຄ້ານແລະຈະບໍ່ໃຊ້ເຕັກນິກດັ່ງກ່າວເພື່ອເຊື່ອງກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ.

ໃນເດືອນຕຸລາ 2017, ລາຍການ AMO ລວມ ແນະນໍາ ຂະບວນການໃຫມ່ສໍາລັບການທົບທວນຄືນການເພີ່ມເຕີມ. ການຢັ້ງຢືນດ້ວຍມືໄດ້ຖືກແທນທີ່ດ້ວຍຂະບວນການອັດຕະໂນມັດທີ່ກໍາຈັດແຖວຍາວສໍາລັບການກວດສອບແລະເພີ່ມຄວາມໄວໃນການຈັດສົ່ງການປ່ອຍໃຫມ່ໃຫ້ກັບຜູ້ໃຊ້. ໃນຂະນະດຽວກັນ, ການຢັ້ງຢືນດ້ວຍມືບໍ່ໄດ້ຖືກຍົກເລີກຢ່າງສົມບູນ, ແຕ່ໄດ້ຖືກຄັດເລືອກສໍາລັບ add-ons ທີ່ວາງໄວ້ແລ້ວ. ການເພີ່ມເຕີມສໍາລັບການທົດສອບຄູ່ມືແມ່ນເລືອກໂດຍອີງໃສ່ປັດໃຈຄວາມສ່ຽງທີ່ຄິດໄລ່.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru