JavaScript มีอันตรายแค่ไหน?

9

ฉันเพิ่งเริ่มใช้NoScript (นอกเหนือจาก ABP) ใช้เวลาสักครู่เพื่อทำความคุ้นเคยกับมันและบางครั้งอาจต้องมีการคลิกเมื่อเข้าสู่เว็บไซต์ใหม่เพื่อตรวจสอบสาเหตุที่เว็บไซต์ไม่ทำงานและฉันต้องอนุญาต JavaScript จากที่ใด การรักษาความปลอดภัยพิเศษนั้นคุ้มค่าหรือไม่

บางส่วนของการทะเลาะวิวาทจะกล่าวถึงที่นี่ ฉันคิดว่ามันทำให้เดือดลงได้ว่า JavaScript นั้นเป็นภัยคุกคามต่อคอมพิวเตอร์ของคุณหรือไม่ ความคิดใด ๆ เกี่ยวกับเรื่องนี้?

security javascript

— Gordon Gustafson
แหล่งที่มา

2

ลองtinyurl.com/y8qdwsvหากคุณรู้สึกว่ากำลังท่องเว็บโดยไม่มี NoScript เป็นความคิดที่ดี

— Josh K

1

ลองtinyurl.com/ydwxk63หากคุณต้องการหัวเราะอย่างหนัก

— Hasaan Chop

@JoshK เป็นหนี้, ซีพียูและ mem เพิ่มขึ้นมาก!

— Maxim Zaslavsky

1

และมีบางสิ่งที่ค่อนข้างผิดพลาด มันคือ 2.4MB จากiframe's

— Josh K

@Josh K: ฉันค่อนข้างผิดหวังที่ FireFox อนุญาต Opera มีพฤติกรรมที่แตกต่างกัน (ไม่น่ารำคาญเท่า) แต่ก็ยังทาก Chrome ไม่ต้องยุ่งยากมากนัก ดูเหมือนว่าจะ จำกัด ความถี่ที่สามารถป๊อปอัป (ใช่ฉันโง่มากพอที่จะลอง 3 ครั้ง)

— mpen

3

เหตุผลที่ NoScript ยังคงมีอยู่ในสถานที่แรกไม่จำเป็นต้องมี JavaScript ต่อ seแต่ต้องการช่องโหว่ด้านความปลอดภัยในเบราว์เซอร์ ในอดีต Firefox และเบราว์เซอร์อื่น ๆ มีช่องโหว่ด้านความปลอดภัยมากมายที่ทำให้ JavaScript ที่เป็นอันตรายสามารถทำสิ่งที่ไม่ดีต่อระบบของผู้ใช้ได้ (ในหลายกรณีรหัสพื้นเมืองสามารถเรียกใช้ผ่าน JavaScript ซึ่งหมายความว่าเว็บไซต์อาจทำอะไรกับคอมพิวเตอร์ของคุณ) นอกจากนี้ยังมีความเป็นไปได้ของการโจมตีสคริปต์ข้ามไซต์เช่น @Eric กล่าว

อย่างไรก็ตามภัยคุกคามเหล่านี้มีอยู่น้อยมากและอยู่ไกลออกไปเว้นแต่ว่าคุณจะเรียกดูเว็บไซต์ที่ร่มรื่นเป็นประจำดังนั้น NoScript จะคุ้มค่าหรือไม่ โดยส่วนตัวแล้วฉันไม่คิดว่ามันจะคุ้มค่าโดยเฉพาะอย่างยิ่งเมื่อพิจารณาว่าเว็บไซต์จำนวนมากต้องการ JavaScript เพื่อให้ทำงานได้ทั้งหมดซึ่งหมายความว่าคุณจะเป็นรายการที่อนุญาตพิเศษหรือโดเมนทั้งหมด (และในตอนนั้นคุณกำลังเอาชนะบางส่วนของ ประโยชน์ของการใช้มันตั้งแต่แรก)

— Sasha Chedygov
แหล่งที่มา

4

ดูhttp://en.wikipedia.org/wiki/Cross-site_scriptingและhttp://en.wikipedia.org/wiki/Cross-site_request_forgeryสำหรับตัวอย่างของคนที่มีเจตนาร้ายสามารถทำให้เกิดปัญหาโดยใช้ JavaScript

FWIW - โดยส่วนตัวฉันไม่ได้ม้วนด้วย NoScript เพราะฉันคิดว่ามันเป็นอาการปวดหัวที่สำคัญ บางครั้งคุณต้องดูว่าคุณกำลังค้นหาและหวังอะไรที่ดีที่สุด

— Eric
แหล่งที่มา

2

ฉันคิดว่าฉันคิดว่าทั้งสองอย่างนั้นมีความกังวลมากขึ้นสำหรับนักพัฒนาเว็บมากกว่าสำหรับผู้ใช้ ฉันคิดว่าไซต์ที่ได้รับการออกแบบมาไม่ดีมีความอ่อนไหวต่อข้อบกพร่องประเภทนั้นซึ่งอาจส่งผลต่อข้อมูลของผู้ใช้ แต่จริงๆแล้วพวกเขาจะขโมยอะไร? ชื่อผู้ใช้ของคุณในฟอรัม crummy? ดูโอ้โห สิ่งที่สำคัญคือเมื่อคุณได้รับข้อมูลบัตรเครดิตและสิ่งของ แต่คุณไม่ควรป้อนข้อมูลประเภทนั้นบนเว็บไซต์ที่คุณไม่ไว้ใจในตอนแรก

— mpen

2

@ มาร์ค, คุณเข้าใจ CSRF คืออะไร? สมมติว่าคุณเปิดเบราว์เซอร์ไว้ที่ธนาคารของคุณและเปิดอีกแท็บหนึ่งไปยังไซต์ที่ชั่วร้าย ด้วย CSRF ไซต์ที่ชั่วร้ายสามารถหลอกเบราว์เซอร์ของคุณให้ส่งคำขอไปยังธนาคารของคุณเพื่อโอนเงินทั้งหมดออกจากบัญชีของคุณ

— Zoredache

1

คุณสามารถป้องกันตนเองจาก CSRF ได้โดยออกจากเว็บไซต์ที่มีความละเอียดอ่อนก่อนไปที่อื่น แม้ว่าฉันจะคิดว่าธนาคารจะได้รับการออกแบบโดยไม่มีช่องว่างที่จ้องมอง แต่ฉันรู้ว่าพวกเขาไม่เคยมีมาก่อน

— Zurahn

1

จาวาสคริปต์ที่เขียนขึ้นมาหรือเป็นอันตรายอาจทำให้เบราว์เซอร์ของคุณเสียหายหรือทำให้หยุดการทำงาน
อาจใช้ JavaScript เพื่อทำให้เกิดการดาวน์โหลด
แต่ใช้อย่างถูกต้องและเป็นไปตามที่คาดไว้ JavaScript จะปรับปรุงประสบการณ์การท่องเว็บ

มีข้อดีข้อเสีย แต่โดยรวมแล้วมันมีค่ากับปัญหา สำหรับบันทึกนี้ฉันใช้ส่วนขยาย NoScript เสมอการเลือกเปิดใช้งานสคริปต์สำหรับเว็บไซต์ที่ฉันเข้าชมเป็นประจำและฉันคาดหวังว่าจะปลอดภัย

— Grant Palin
แหล่งที่มา

0

ในขณะที่มีการใช้ประโยชน์ทางเทคนิคในการประมวลผลภาพและการแสดงผล XML และสิ่งที่คล้ายกันสำหรับทุกเจตนาและวัตถุประสงค์มีสามเวกเตอร์ของการโจมตี: วิศวกรรมสังคม (หลอกผู้ใช้ให้ผู้ใช้เรียกใช้ไฟล์ที่เป็นอันตราย), ปลั๊กอิน (Flash) และจาวาสคริปต์

JavaScript อนุญาตให้เรียกใช้คำแนะนำโดยตรงและเป็นสิ่งที่ไม่ดีโดยเฉพาะอย่างยิ่งในกรณีของ Internet Explorer เนื่องจากการตัดสินใจที่ไม่ดีอย่างไม่น่าเชื่อและการใช้งานตัวควบคุม ActiveX ในอดีต (แม้ว่า Microsoft ได้ปรับปรุงในเรื่องนี้) คุณไม่จำเป็นต้องไปที่ไซต์ที่มีร่มเงาเนื่องจากโฆษณาจะแสดงใน JavaScript และมีหลายกรณีที่มีการแสดงโฆษณาที่เป็นอันตรายในเว็บไซต์ที่ถูกกฎหมาย

คำตอบสั้น ๆ : หากคุณกังวลเกี่ยวกับภัยคุกคามมีสามสิ่งที่ต้องคำนึงถึง: Internet Explorer, Flash และ JavaScript

— Zurahn
แหล่งที่มา

"JavaScript อนุญาตให้เรียกใช้คำแนะนำโดยตรง" - แหล่งที่มาหรือไม่ สิ่งนี้เป็นจริงใน IE เวอร์ชันเก่าเนื่องจาก ActiveX แต่ทุกวันนี้จะเกิดขึ้นเมื่อพบการหาช่องโหว่ด้านความปลอดภัยเท่านั้นและมักจะได้รับการแก้ไขอย่างรวดเร็ว JavaScript เองจริงๆแล้วไม่สามารถทำอะไรได้มากกับระบบของคุณ - โดยส่วนใหญ่มันอาจช้าลงหรืออาจทำให้เบราว์เซอร์ของคุณเสียหาย

— Sasha Chedygov

2

JavaScript เป็นภาษาการเขียนโปรแกรมคุณเขียนคำแนะนำ ฉันไม่ได้อ้างถึงคำแนะนำในระดับรหัสเครื่องฉันหมายถึงภาษาของตัวเอง - ที่ใช้งานจาวาสคริปต์กำลังเรียกใช้รหัส; ไม่มากไม่น้อย. แตกต่างจาก HTML และ CSS (นอกเหนือจาก eval ใน IE) ซึ่งมีความหมายล้วนๆ ด้วยเหตุนี้โอกาสของช่องโหว่ผ่าน JavaScript จึงสูงกว่าในทางดาราศาสตร์ - JavaScript นั้นมีเมตตาเพียงอย่างเดียวหากไม่มีข้อผิดพลาดทั้งในการนำไปใช้หรือข้อกำหนดซึ่งจะไม่เกิดขึ้น

— Zurahn

0

คอมพิวเตอร์น้อยมากหากคอมพิวเตอร์ใด ๆ ที่เชื่อมต่อกับอินเทอร์เน็ตใช้ประโยชน์จากข้อพิสูจน์ เราไม่จำเป็นต้องใช้ MeltDown หรือ Specter เพื่อโฆษณาที่เป็นอันตรายบนเครื่องของคุณมันมาจากเว็บไซต์ที่น่าเชื่อถือเหมือนที่เคยมีมา

นี่คือสาเหตุที่การแพร่ระบาดของโฆษณาที่เป็นอันตรายเพิ่มมากขึ้นเมื่อปีที่แล้วการบังคับให้เปลี่ยนเส้นทางจากกลุ่มเซอร์โคเนียมผลักมัลแวร์ปลอมและการอัพเดทแฟลชปลอม DAN GOODIN - 1/23/2018, 5:00 น

ในปี 1990 Netscape Navigator ได้เซ็นชือด้วยจาวาสคริปต์แบบดิจิทัลเราต้องการเวอร์ชันที่ปรับปรุงแล้วในตอนนี้

— rjt
แหล่งที่มา

0

JavaScript ไม่จำเป็นต้องทิ้งคอมพิวเตอร์ของคุณเพื่อเป็นอันตรายต่อคุณ นี่คือตัวอย่างง่ายๆของ sniffers JavaScript ที่สามารถใช้เพื่อขโมยข้อมูลธนาคารของคุณและส่งไปยังผู้โจมตีระยะไกล:

https://www.smartspate.com/four-javascript-sniffer-that-will-show-how-careful-you-should-be-with-online-purchasing/

— pevogam
แหล่งที่มา