Новый эксплойт вернул к жизни старый баг

Исследователь Google Майкл Залевски вернул к жизни старую уязвимость, которая давала возможность владельцам сайтов получать доступ к истории просмотров своих посетителей. Он объявил об этом спустя почти год после того, как все браузеры выпустили заплатку, закрывающую этот баг в приватности.

Майкл опубликовал демонстрационный код, который срабатывает в большинстве случаев на браузерах Internet Explorer, Google Chrome и Mozilla Firefox, несмотря на то, что производители браузеров заявили, что исправили эту уязвимость таким образом, чтобы нельзя было просматривать адреса сайтов, посещенных пользователем больше месяца назад.

Залевски скромно написал, что его код сырой и не будет работать у большинства читателей. Но, тем не менее, это целостный и производительный метод проверки кэша, размывающий разницу между :visited и другими не настолько интересными техниками.

Предыдущие версии эксплойта использовали встроенный во все браузеры функционал, благодаря которому ссылки на уже посещенные сайты выглядят по-другому. Хакерские атаки были основаны на CSS. О подобной уязвимости стало известно около 10 лет назад. В прошлом году ей воспользовались YouPorn и 45 других сайтов, воруя историю посещений своих пользователей. После этого все браузеры выпустили патчи с исправлениями.

Залевски сказал, что обошел эти исправления «с другой стороны», использовав метод синхронизации кэша. Сам по себе этот способ не является открытием, но раньше считался слишком непрактичным. Залевски доработал его таким образом, что теперь синхронизация работает быстро и незаметно.

7 Декабря 2011

Возврат к списку

Новые темы	Объявления	Свободное общение
18:38 Чем заменили ТИЦ? 18:36 Кому нибудь в вебмастере пишут про нарушения? 18:32 TeaserNet - тизерная сеть нового поколения! Высокие доходы, стабильные выплаты 16:05 LOSPOLLOS.COM - Конвертим по рецепту Хайзенберга. Dating, Mainstream, Binary Options 15:10 CPA-PRIVATE.BIZ - премиальная товарная программа. Только ТОП ставки! 11:58 Favicon в google не меняется уже более 6 месяцев 11:38 Как скачать с web archive org	17:20 Пираю ваши продукты на форумах, регистрирую, веду темы. 14:25 Размещу ссылку на своём сайте 13:41 Продам базы данных предприятий Украины, СНГ, ЕС, ЮВА. 12:07 anyexchange.best - обменный пункт электронных валют AnyExchange 11:32 Комплексный прогон по трастовым сайтам, статейное размещение. Рост НЧ-СЧ, Тиц-пр. 10:31 [eBucks] Автоматический обмен криптовалют. BTC и любые альткоины. Киви, Банковские карты и др. электронные системы. 17:04 Betatransfer.net - обменник электронных валют	16:24 Россияне начали скупать кнопочные телефоны 14:00 Каково быть самозанятым: плюсы и минусы 12:22 В Сочи на пляже выставили цену в 800 рублей за спасение утопающих 00:06 Ищу быстрый пф который загоняет в топ за 24-48 часов 14:26 Раздражающая привычка туристов на пляже вызвала споры среди россиян 20:18 Обмен крипты 13:50 Сервис услуг в YouTube, Вконтакте, Instagram, Twitter, Facebook, Одноклассники, Google+