Złośliwe skrypty

Na stronach WWW mogą być umieszczane, bez wiedzy administratora, niebezpieczne dla użytkowników programy.

Na stronach WWW mogą być umieszczane, bez wiedzy administratora, niebezpieczne dla użytkowników programy.

Kilka firm zajmujących się bezpieczeństwem w sieci globalnej poinformowało o pojawieniu się w Internecie złośliwych skryptów, które mogą zostać umieszczone na stronach WWW bez wiedzy administratora.

Początkowo ostrzeżenie wydała organizacja CERT (Computer Emergency Response Team), zaś później także m.in. dział Joint Task Force for Computer Network Defence amerykańskiego Departamentu Obrony.

Złośliwe skrypty rozprzestrzeniają się za pośrednictwem specjalnego odnośnika osadzonego na stronach w czasie ich przesyłania - twierdzi CERT. Mogą one zakłócać działanie aplikacji WWW przez wysyłanie błędnych danych, niechcianej grafiki lub skryptów mogących przechwytywać poufne informacje, np. hasła użytkowników. Działania te są często niezauważalne dla właściciela strony, który nie zdaje sobie sprawy, iż użytkownicy serwisu są narażeni na niebezpieczeństwo.

CERT nie miał dotąd żadnych zgłoszeń dotyczących tego problemu, ale powodem jest prawdopodobnie trudność jego wykrycia. Na ra- zie opublikowano (pod adresemhttp://www.cert.org/tech_tips ) dwa dokumenty na ten temat.

W tekście Understanding Malicious Content Mitigation for Web Developers zaprezentowano kwestie techniczne i opisano, jak twórcy stron WWW mogą się zabezpieczać przed działaniem złośliwych skryptów. Jednym z działań prewencyjnych jest zmiana kodu dynamicznie tworzonych stron, tak aby dane udostępniane w ten sposób były odpowiednio przefiltrowane, zanim w postaci stron zostaną wyświetlone w przeglądarce użytkownika. Twórcy stron mogą również filtrować dane przychodzące, które służą do dynamicznego tworzenia zawartości, w tym m.in. adresy stron WWW, elementy formularzy, pliki cookies czy zapytania do baz danych.

Drugi dokument zamieszczony na stronie WWW organizacji CERT, FAQ About Malicious Web Scripts Redirected by Web Sites, zawiera porady dla użytkowników stron WWW dotyczące zaleceń jak wyłączyć te opcje przeglądarek, które pozwalają na działanie skryptów, m.in. obsługi Javy, JavaScript i ActiveX.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200