Adblock Plus मा जोखिमपूर्णता जसले शंकास्पद फिल्टरहरू प्रयोग गर्दा कोड कार्यान्वयन गर्न अनुमति दिन्छ

Adblock प्लस विज्ञापन अवरोधक मा पहिचान गरियो जोखिम, अनुमति दिँदै साइटहरूको सन्दर्भमा जाभास्क्रिप्ट कोडको कार्यान्वयनलाई व्यवस्थित गर्नुहोस्, आक्रमणकारीहरूद्वारा तयार गरिएका अप्रमाणित फिल्टरहरू प्रयोग गर्ने अवस्थामा (उदाहरणका लागि, तेस्रो-पक्ष नियमहरूको सेट जडान गर्दा वा MITM आक्रमणको बेला नियमहरूको प्रतिस्थापन मार्फत)।

फिल्टरहरूको सेटको साथ सूचीका लेखकहरूले अपरेटरसँग नियमहरू थपेर प्रयोगकर्ताद्वारा खोलेका साइटहरूको सन्दर्भमा तिनीहरूको कोडको कार्यान्वयनलाई व्यवस्थित गर्न सक्छन्।पुनःलेखन गर्नुहोस्", जसले तपाईंलाई URL को अंश बदल्न अनुमति दिन्छ। पुन: लेख्ने अपरेटरले तपाईंलाई URL मा होस्ट बदल्न अनुमति दिँदैन, तर यसले तपाईंलाई स्वतन्त्र रूपमा अनुरोध तर्कहरू हेरफेर गर्न अनुमति दिन्छ। केवल पाठलाई प्रतिस्थापन मास्कको रूपमा प्रयोग गर्न सकिन्छ, र लिपि, वस्तु र सबडकुमेन्ट ट्यागहरूको प्रतिस्थापन अनुमति छ अवरुद्ध.

यद्यपि, कोड कार्यान्वयन एक workaround मा प्राप्त गर्न सकिन्छ।
गुगल नक्सा, जीमेल, र गुगल छविहरू सहित केही साइटहरूले गतिशील रूपमा कार्यान्वयनयोग्य जाभास्क्रिप्ट ब्लकहरू लोड गर्ने प्रविधि प्रयोग गर्छन्, नग्न पाठको रूपमा प्रसारित। यदि सर्भरले अनुरोध पुन:निर्देशन अनुमति दिन्छ भने, अर्को होस्टमा फर्वार्डिङ URL प्यारामिटरहरू परिवर्तन गरेर प्राप्त गर्न सकिन्छ (उदाहरणका लागि, Google को सन्दर्भमा, API मार्फत रिडिरेक्ट गर्न सकिन्छ "google.com/search") पुननिर्देशन अनुमति दिने होस्टहरूको अतिरिक्त, प्रयोगकर्ता सामग्री (कोड होस्टिङ, लेख पोस्टिङ प्लेटफर्महरू, आदि) पोस्ट गर्न अनुमति दिने सेवाहरू विरुद्ध पनि आक्रमण गर्न सकिन्छ।

प्रस्तावित आक्रमण विधिले जाभास्क्रिप्ट कोडको स्ट्रिङहरू गतिशील रूपमा लोड गर्ने पृष्ठहरूलाई मात्र असर गर्छ (उदाहरणका लागि, XMLHttpRequest वा Fetch मार्फत) र त्यसपछि तिनीहरूलाई कार्यान्वयन गर्नुहोस्। अर्को महत्त्वपूर्ण सीमा भनेको स्रोत जारी गर्ने मूल सर्भरको छेउमा रिडिरेक्ट वा मनमानी डाटा प्रयोग गर्न आवश्यक छ। यद्यपि, आक्रमणको सान्दर्भिकता प्रदर्शन गर्न, "google.com/search" मार्फत रिडिरेक्ट प्रयोग गरेर maps.google.com खोल्दा तपाईंको कोडको कार्यान्वयन कसरी व्यवस्थित गर्ने भनेर देखाइएको छ।

फिक्स गर्ने तयारी अझै छ। समस्याले अवरोधकहरूलाई पनि असर गर्छ AdBlocK и uBlock। uBlock Origin blocker समस्याबाट प्रभावित हुँदैन, किनकि यसले "पुनर्लेखन" अपरेटरलाई समर्थन गर्दैन। एक समयमा uBlock उत्पत्ति को लेखक
अस्वीकार गरे सम्भावित सुरक्षा समस्याहरू र अपर्याप्त होस्ट-स्तर प्रतिबन्धहरू उद्धृत गर्दै, पुन: लेख्नको लागि समर्थन थप्नुहोस् (क्वेरी स्ट्रिप विकल्पलाई प्रतिस्थापनको सट्टा क्वेरी प्यारामिटरहरू सफा गर्न पुन: लेख्नुको सट्टा प्रस्ताव गरिएको थियो)।

Adblock Plus विकासकर्ताहरूले वास्तविक आक्रमणहरूलाई असम्भव मान्छन्, किनकि नियमहरूको मानक सूचीहरूमा सबै परिवर्तनहरू समीक्षा गरिन्छ, र तेस्रो-पक्ष सूचीहरू जडान गर्ने प्रयोगकर्ताहरू बीच अत्यन्तै दुर्लभ छ। MITM मार्फत नियमहरूको प्रतिस्थापन मानक ब्लक सूचीहरू डाउनलोड गर्न HTTPS को पूर्वनिर्धारित प्रयोगद्वारा रोकिएको छ (अन्य सूचीहरूको लागि यो भविष्यको रिलीजमा HTTP मार्फत डाउनलोड गर्न निषेध गर्ने योजना छ)। साइट साइडमा आक्रमण रोक्न निर्देशनहरू प्रयोग गर्न सकिन्छ सीएसपी (सामग्री सुरक्षा नीति), जसको माध्यमबाट तपाईंले बाह्य स्रोतहरू लोड गर्न सकिने होस्टहरू स्पष्ट रूपमा निर्धारण गर्न सक्नुहुन्छ।

स्रोत: opennet.ru