Аймақтық сценарий - Cross-zone scripting

Аймақтық сценарий Бұл браузерді пайдалану артықшылығын пайдалану осалдық ішінде аймақ- қауіпсіздікке негізделген шешім. Шабуыл артықшылығы жоқ аймақтардағы мазмұнды (сценарийлерді) артықшылықты аймақтың рұқсаттарымен орындауға мүмкіндік береді, яғни артықшылықты күшейту ішінде клиент (веб-шолғыш) сценарийді орындау. Осал болуы мүмкін:

  • веб-шолғыш қате бұл кейбір жағдайларда бір аймақтың мазмұнын (сценарийлерін) жоғары артықшылықты аймақтың рұқсаттарымен орындауға мүмкіндік береді.
  • веб-шолғыш конфигурация қатесі; артықшылықты аймақтарда көрсетілген қауіпті сайттар.
  • а сайтаралық сценарий артықшылықты аймақтағы осалдық

Жалпы шабуыл сценарийі екі кезеңді қамтиды. Бірінші қадам - ​​сценарийлерді артықшылықты аймақ шеңберінде алу үшін аймақаралық сценарийлердің осалдығын қолдану. Шабуылды аяқтау үшін компьютерде қауіпті ActiveX компоненттерін пайдаланып зиянды әрекеттерді жасаңыз.

Осалдықтың бұл түрі әртүрлі үнсіз орнату үшін пайдаланылды зиянды бағдарлама (сияқты тыңшылық бағдарлама, қашықтан басқару бағдарламасы, құрттар және) зиянды веб-парақты қарап жатқан компьютерлерде.

Зона ұғымының пайда болуы

Ішінде төрт белгілі аймақ бар Internet Explorer:

  • ғаламтор. Әдепкі аймақ. Басқа аймақтарға жатпайтындардың барлығы.
  • Жергілікті интранет.
  • Сенімді сайттар. Әдетте минималды қауіпсіздік рұқсаттарымен орындауға рұқсат етілген сенімді сайттарды тізімдеу үшін қолданылады (мысалы, қауіпті және қол қойылмаған күйде іске қосыңыз) ActiveX нысандар).
  • Шектелген сайттар.

Бұл аймақтар «Internet Explorer-де қауіпсіздік аймақтарын қалай пайдалану керек» арқылы егжей-тегжейлі түсіндіріледі.[1]

Сонымен қатар қосымша жасырын аймақ бар:

  • Жергілікті компьютер аймақ (немесе Менің компьютерім аймақ). Бұл аймақ әсіресе қызықты, өйткені ол жергілікті компьютердегі файлдарға қол жеткізе алады. Тарихи тұрғыдан бұл аймақ өте қауіпті болды, бірақ соңғы нұсқаларында Internet Explorer (Windows XP үшін) аймақпен байланысты тәуекелдерді азайтуға бағытталған қадамдар жасалды.

Жергілікті интранет, Сенімді сайттар және Жергілікті компьютер әдетте артықшылықты аймақтар ретінде конфигурацияланған. Аймақтық сценарий шабуылдарының көпшілігі секіруге арналған ғаламтор артықшылықты аймақ.

Мысалдар

Жергілікті компьютерлік аймаққа

Бұл эксплуатация түрі жергілікті компьютерлік аймақ қауіпсіздігі аясында кодты орындауға тырысады.

Нәзік (жұмыс істемейтін) қанау әрекетін бейнелеу үшін келесі HTML қолданылады:

<!DOCTYPE html><HTML><дене><имм src=«attack.gif»><сценарий src=«файл: // C:  Құжаттар және параметрлер  Әкімші          Жергілікті параметрлер  Уақытша Интернет файлдары  attack.gif «></дене></HTML>

Түсініктеме: HTML коды алуға тырысады шабуыл.gif IMG SRC сілтемесін қолдану арқылы кэшке жүктелді. Содан кейін SCRIPT SRC тэгі сценарийді орындауға тырысады Жергілікті компьютерлік аймақ кэштегі жергілікті файлға жүгіну арқылы.

Жергілікті интранет аймағына

Осы сценарийді қарастырыңыз:

  • шабуылдаушы (қандай да бір түрде) a білуі мүмкін сайтаралық сценарий осалдық қосулы http://intranet.example.com/xss.php
  • көп http://intranet.example.com пайдаланушылар үнемі келіп тұрады http://www.example.com/, мұнда кез-келген адам қоса алады Салқын сілтемелер.
  • Шабуылшы а қосады Салқын сілтеме кімге:
http://intranet.example.com/xss.php?

Intranet.example.com бөлігін компьютер деп санайды Жергілікті интранет енді аймақ кросс-сценариймен сәтті өтеді.

Сенімді сайттар аймағына

Белгілі мысал - % 2f қате Internet Explorer 6. Келесі URL мекен-жайы анықталды

http: //windowsupdate.microsoft.com%2f.example.com/

егер «сенімді сайттар» рұқсатымен орындалса windowsupdate.microsoft.com сенімді сайт ретінде көрсетілген.

Әдебиеттер тізімі

  1. ^ Q174360: Internet Explorer-де қауіпсіздік аймақтарын қалай пайдалануға болады

Сыртқы сілтемелер