Ударяющийся о ДОМ
-
Основы DOM-блокирования
- DOM-блокирование — это тип атаки, который позволяет злоумышленнику внедрять вредоносный HTML-код без использования скриптов.
- Атака может влиять на выполнение JavaScript и приводить к нежелательным действиям на веб-сайте.
-
История и последствия
- Уязвимость известна уже более десяти лет, но попытки ее устранения не увенчались успехом.
- Из-за широкого использования базовых функций в интернете, полное устранение уязвимости невозможно.
- Однако были разработаны средства защиты, ограничивающие последствия DOM-блокирования.
-
Пример атаки
- В статье приведен пример, демонстрирующий, как DOM-атака может влиять на выполнение JavaScript.
- Злоумышленник может использовать межсайтовые сценарии или другие функции сайта для внедрения вредоносного HTML-кода.
-
Модель угрозы
- Модель угрозы аналогична модели веб-атакующего, предложенной в 2010 году.
- Злоумышленник может внедрять ограниченный набор разметки на веб-сайты-жертвы, используя другие атаки.
-
Защитные меры
- Отключение доступа к именованным элементам DOM невозможно из-за их активного использования.
- Для снижения риска используются методы безопасного кодирования и библиотеки для очистки HTML.
- Ограничительные политики безопасности контента (CSP) могут затруднить повышение риска DOM-блокирования до уровня атаки с выполнением произвольного кода.
-
Рекомендации
- Статья предлагает дальнейшее чтение по связанным темам, таким как межсайтовый скриптинг и объектная модель документа.