Apa fitur browser yang mengeksploitasi ini dan bagaimana cara menghentikannya?

2

http: // raffa991 [dot] ra [dot] funpic [dot] de / lol /
Peringatan: Ini adalah semacam tanda "kamu idiot" yang menyebalkan yang dikombinasikan dengan banyak kotak pesan sembulan. Buka dengan hati-hati!

Bagaimanapun, itu crash firefox 3.5.4 saya. (atau lebih tepatnya, membuatnya tidak dapat digunakan) ... Saya tidak tahu tentang browser lain.

Karena sudah lama sejak sesuatu yang bodoh melakukan sesuatu seperti itu, aku bertanya-tanya ... kelemahan apa yang digunakan benda itu (Javascript?), Dan bagaimana cara melindungi diri dari itu?

security javascript firefox exploit Benteng
sumber
@Nifle - apa gunanya suntingan itu? Saya tidak keberatan, saya hanya berpikir itu lebih jelas seperti apa adanya.
Benteng

Jawaban:

3

Melihat sumber halaman (menggunakan pengunduh mode teks), sepertinya sebagian besar Javascript.

Cara terbaik untuk menghindari gangguan semacam ini adalah dengan menggunakan NoScript .

Tampaknya juga memiliki objek Flash di suatu tempat di halaman. Flashblock dapat membantu dengan itu.

Ada juga beberapa kode yang memindahkan windows ke seluruh layar. Firefox memiliki preferensi yang memungkinkan Anda untuk menonaktifkan memindahkan dan mengubah ukuran windows ( dom.disable_window_move_resize); Anda harus mengaktifkannya (Anda tidak perlu menggunakan about: config untuk itu, itu ada di suatu tempat di dialog preferensi). Sementara itu, nonaktifkan juga pemblokiran menu konteks ( dom.event.contextmenu.enabled); itu di tempat yang sama di dialog preferensi.

Akhirnya, laporan bug yang relevan adalah Bug 61098 - Keluar dari semua skrip yang saat ini aktif (izinkan aborting modal window.alert () loop dalam javascript (js)) (peringatan: lebih dari 200 komentar pada laporan bug itu). Menemukan solusi untuk bug 61098 (dan mengkodekannya) akan menjadi langkah besar untuk menghindari masalah ini.

Sunting: laporan bug yang lebih baik adalah bug 432687 , yang merupakan meta-bug yang melacak semua laporan bug yang relevan dengan masalah ini.

CesarB
sumber
NoScript juga berhubungan dengan flash.
John T
Objek flash adalah suara. NoScript memblokir objek flash secara default.
Josh K
Kalahkan 31 detik!
Josh K
@ John T: tidak jika Anda mengizinkan Javascript sementara pada halaman. Ketika Anda melakukannya, Flashblock mengambil alih.
CesarB
3

Saya membuka halaman itu dan memasangnya (teks mentah, jangan khawatir) di pastebin.ca .

Saya juga menghapus ~ 400 baris kosong yang dimulai dari halaman.

Tampaknya menjadi javascript murni, beralih di antara beberapa array untuk membuat judul bergerak dan teks berubah.

NoScript dengan tenang mengalahkan ini. Namun itu tidak akan mengalahkan hal-hal seperti http://tinyurl.com/y8qdwsv tanpa berpikir ke depan.

Peringatan. Mengklik tautan itu dapat membahayakan kesehatan komputer Anda.

Josh K.
sumber
Masalah dengan tautan tinyurl tersebut adalah bugzilla.mozilla.org/show_bug.cgi?id=167475 (menggunakan beberapa IFRAME dengan SRC = "mailto: ...")
CesarB
Benar, namun itu masih belum diperbaiki. 3,6 rentan terhadap hal ini bersama dengan semua peramban utama yang saya uji. Ini juga akan merepotkan jika Anda menyuntikkan <iframe src = " path / to / page " /> ke file include di sebuah situs, dengan demikian menjadikan setiap halaman sebagai halaman serangan. Tidak yakin bagaimana Anda akan melakukan itu, tetapi saya pikir itu adalah masalah ukuran yang layak.
Josh K
Pastebin itu mati.
Mekanik siput
@Mechanicalsnail Begitu juga tinyurl. Sudah lama :)
Nonny Moose
2

Yap, ini javascript oke. Lihat ekstensi NoScript , ini bagus untuk memblokir hal-hal menjengkelkan seperti ini.

John T
sumber
2

Hanya situs prank JavaScript biasa, sepertinya. (Menunjuk CURL di alamat: P)

Saat Anda menggunakan Firefox, Anda dapat menonaktifkan gerakan jendela Preferences ->Content ->Javascript ->Advanced, meskipun tidak ada cara untuk menghentikan spam messagebox bawaan, Anda bisa menggunakan NoScript untuk membunuhnya sebelum memiliki kesempatan untuk berjalan.

Phoshi
sumber