Formularze HTML nadal niebezpieczne

Sandro Gauci z firmy EnableSecurity opublikował w 2002 roku raport na temat zagrożeń wynikających z przesyłania danych za pośrednictwem formularzy HTML. Teraz wydano zaktualizowaną wersję dokumentu. Wynika z niego, że ten element witryn WWW nadal stanowi poważne zagrożenie.

Zdaniem Gauciego w ciągu ostatnich lat twórcy przeglądarek niewiele zrobili, aby zwiększyć bezpieczeństwo pracy z formularzami. „Większość popularnych firewalli blokuje porty wykorzystywane podczas ataków za pośrednictwem aktywnych pól. Jednak hakerzy nauczyli się używać niestandardowych portów do kradzieży informacji czy przejęcia komputera” – napisał ekspert.

Najlepsze zabezpieczenia w tym zakresie oferują Safari i Mozilla Firefox, podczas gdy Opera oraz Internet Explorer są mniej skuteczne. Problem polega na tym, że większość przeglądarek jest zorientowana na jak najlepsze renderowanie kodu HTML, który otrzymuje – niezależnie od źródła jego pochodzenia. Wprowadzono wiele zabezpieczeń dotyczących transakcji HTTP klient-serwer. Znacznie mniej wysiłku włożono w poprawienie połączeń z maszynami niebazującymi na tym protokole (chodzi głównie o FTP i SMTP).

Przeglądarki nie rozróżniają jednak typów serwerów. Dopiero faktyczne wejście na FTP lub SMTP kończy się wyświetleniem komunikatu błędu. Do niego haker może dołączyć złośliwy kod i przeprowadzić atak typu XSS (cross-site scripting). To umożliwi kradzież danych przesyłanych za pośrednictwem formularza lub nawet przejęcie całkowitej kontroli nad komputerem.

Gauci jest przekonany, że twórcy przeglądarek powinni „nauczyć” swoje programy rozpoznawania poszczególnych typów serwerów – tak aby nie próbowały one renderować w HTML-u informacji otrzymywanych za pośrednictwem FTP czy SMTP.

źródło: DarkReading.com

Podoba Ci się ten tekst? Powiedz o tym innym na Fb: lub na G+:

publikuj:

wydrukuj

2 skomentuj »

Komentarze

#1 ktos 2009-02-22 14:51:29 0
chyba naprawili :D
IP: 83.31.142.[...] Mozilla/5.0 (Windows; U; Windows NT 5.1; pl; rv:1.9.0.6) Gecko/2009011913 Firefox/3.0.6
#2 ktos 2009-02-22 14:52:42 0
... ddddddd
IP: 83.31.142.[...] Mozilla/5.0 (Windows; U; Windows NT 5.1; pl; rv:1.9.0.6) Gecko/2009011913 <script type="text/javascript">alert('aaaaaaaaaa');</script>

Aby dodać komentarz, musisz podać swój nick, treść komentarza oraz poprawnie przepisać oba słowa z obrazka (słowa muszą być rozdzielone spacją).
W treści komentarza można używać języka formatowania BBcode.