Szkodliwe oprogramowanie, a programowanie webowe.

pytanie zadane 25 czerwca 2017 w Bezpieczeństwo, hacking przez Else Stary wyjadacz (12,260 p.)

Witajcie!

Na niedzielny wieczór mam takie pytanie do luźnej dyskusji. Otóż zastanawiam się na jak dużo w obecnym czasie pozwalają języki webowe jeśli chodzi o złośliwe oprogramowanie? To znaczy, czy samo wejście na jakąś stronę może być szkodliwe dla naszego komputera?

Podejrzewam, że jeśli chodzi o poziom niebezpieczeństwa to z pewnością będą przewodzić języki wykonywane po stronie użytkownika jak js (to dlatego jeszcze do niedawna go niektórzy wyłączali w przeglądarkach?? ), ale mogę się mylić.

Zapraszam do dyskusji! :D

3 odpowiedzi

odpowiedź 25 czerwca 2017 przez niezalogowany

To znaczy, czy samo wejście na jakąś stronę może być szkodliwe dla naszego komputera?

Tak, patrz tutaj: https://nakedsecurity.sophos.com/2016/06/20/ransomware-thats-100-pure-javascript-no-download-required/

komentarz 25 czerwca 2017 przez CzikaCarry Szeryf (75,340 p.)

Obecnie chrome nie pozwala skryptom JS dostać się do plików lokalnym komputerze klienta, więc chrome jest już raczej przed tym zabezpieczony.

komentarz 26 czerwca 2017 przez Magicone Nałogowiec (45,100 p.)

Żadna współczesna przeglądarka na to nie pozwala. Jednoznacznie na postawione w tezie pytanie można odpowiedzieć: to zależy.

Z resztą tak jak wszystko. JS w przeglądarce ma mocno okrojone prawa do bardziej atrakcyjnych manipulacji bez wyraźnej zgody użytkownika. Problem jest taki, że... użytkownik się po prostu zgadza. I tym samym daje prawo do przechodzenia aplikacji (tak nazwijmy naszego potencjalnego szkodnika), pobierania plików, dostępu do kamery, mikrofonu i reszty możliwości jakie oferuje chociażby sam WebRTC. I problem pojawia się chociażby po pobraniu zainfekowanego pliku, który jest dość niepozorny dla przeciętnie słabego antywirusa, no bo hej, jaki lokalny HTML może stanowić większe zagrożenie dla użytkownika? A okazuje się, że w czasach FileAPI może sobie bezproblemowo wygenerować jakiś pliczek, a nasz średnio inteligentny użytkownik odpala sobie go i jak to się mawia "strange things are happening".

Podsumowując, korzystając świadomie i równie świadomie wybierając uprawnienia jakie przyznajemy różnym stronom zmniejszamy prawdopodobieństwo tego, że zostaniemy w jakiś sposób zaatakowani przez potężnego hakera ( ͡° ͜ʖ ͡°). Warto też wspomnieć, że ludzie to tylko ludzie, często przy implementacjach konkretnych rzeczy się mylą, a także people are awesome, ludzie to skurczybyki bobry, które wykorzystują owe błędy do swoich bardziej lub mniej ambitnych celów. Ostatni przykład, który obszedł się z szumem był bodajże wał z historyAPI, które przeciążone ilością danych powodowało crashowanie się przeglądarki. Anyway, producenci przeglądarek szybko łatają dziury w swoim oprogramowaniu i starają się utrzymać bezpieczeństwo użytkowników na wysokim poziomie. Jednym to wychodzi, innym mniej, ale przynajmniej się starają. I takim krokiem w ostatnim czasie było zablokowanie domyślnie, potencjalnie niebezpiecznej, wtyczki flash na stronach przez chrome.

odpowiedź 25 czerwca 2017 przez Jakub Nowacki Początkujący (470 p.)

odpowiedź 25 czerwca 2017 przez Else Stary wyjadacz (12,260 p.)

A jak jest jeśli chodzi o dostęp do informacji o użytkowniku, wykonywaniu czynności w tle albo ogólnie. Przecież sam js daje dostęp do obiektu okna, eventów związanych z myszką itd, co można by wykorzystać chociażby, do sterowaniem tego co robi użytkownik(?). Jak z tym jest?