作者karst10607 (秋蝉)
看板Browsers
标题[转录][新闻] 防范恶意程式 无名小站全面禁加Javasc …
时间Thu Oct 16 18:27:44 2008
※ [本文转录自 Gossiping 看板]
作者: cbate (自由是用钱买不到的) 站内: Gossiping
标题: [新闻] 防范恶意程式 无名小站全面禁加Javascript
时间: Wed Oct 15 11:08:40 2008
防范恶意程式 无名小站全面禁加Javascript
http://www.ithome.com.tw/itadm/article.php?c=51428
资安组织chroot日前发出一份公告，指出无名小站存在XSS漏洞，这很有可能才是无名
紧急修改政策的真正原因。
无名小站周一贴出公告，
十月十四日中午开始全面禁止新增、修改Javascript语法
。根据无名表示，此举为考量网友使用安全，不过使用者往後将不得再新增小时钟、
音乐播放、联播贴纸、联播广告等利用Javascript放置的外挂程式。
无名小站在公告中指出，为了避免有心人士藉由恶意程式语法散布病毒或木马程式，
今天开始网志边栏和网志叙述将不提供新增置放Javascript语法之功能。不过据了解
，资安组织chroot日前发出一份公告，指出无名小站存在跨站脚本攻击漏洞（XSS,
Cross-Site Scripting），这很有可能才是无名紧急修改政策的真正原因。
Yahoo!奇摩公关经理吴苑如回应表示，透过语法可进行的恶意攻击很多，如果骇客攻
击的是网站平台，平台可以有效控制；不过若是攻击浏览者，就难以预防。因此虽然
禁用Javascript会造成使用者些许不便，却是较能保障网友浏览安全的做法。
事实上，无名在今年3月时已经开始修改语法使用规定，除了网志边栏和网志叙述外，
不得新增、修改Javascript。这次全面禁用Javascript，也是上一波管理政策的延伸
。吴苑如强调，
以前置入的语法还会继续运作，只是不能修改、新增，工程人员未来
会在确认安全无虞之後逐步开放边栏可运用的Javascript。
对於无名以此种方式强化平台安全性，不愿具名的资安专家表示，禁用Javascript可
以说是最全面的保障措施，虽然可透过後台机制解决，「不过就算防了999项，只要漏
了一项还是会出事。」他说，从资安角度来看，对於无名的做法他相当认同。
但也有其他资安专家持不同看法，专门揭露台湾网站被植入恶意连结、存在XSS或其他
安全漏洞的部落客邱春树（Roger）就认为，无名直接限制Javascript对於使用者影响
太大，并非最好的处理方式，应该可以从无名本身系统防护进行检视。不过透过
Javascript植入恶意程式的确是网站很容易遇到的问题，可以说相当普遍。
目前也有业者采用和无名相同做法，如wordpress也是完全限制javascript。
痞客帮（
Pixnet）则未限制，而是从系统面加强安全性。Pixnet日前才因安全考量进行後
台大
改版，在後端程式码、网站架构都提升了安全性。并将前後台网域拆开，也可降低遭
XSS攻击的风险。
--
1. 因噎废食！
2. 台大：躺着也中枪！e04
--
╭─────────────────────────────────╮
│[教学] 教你怎麽上BBS 推广PTT你我一起来 http://tinyurl.com/42k73l │
╰─────────────────────────────────╯
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 122.117.155.70
1F：推 kuninaka:太棒了 最好把自动播放音乐拿掉 10/15 11:09
2F：推 masktrue:自动播放音乐烦死了... 10/15 11:10
3F：→ WizZ:自动播放音乐真的很机八 10/15 11:10
4F：推 freewash:相簿有音乐真的很烦 点下去突然被吓到 10/15 11:10
5F：推 new1025:自动播放很烦 烦到爆 10/15 11:10
6F：→ Atwo:自动拨放音乐是万恶的根源!!!!! 10/15 11:10
7F：推 sunnywing:自动播放因为可以跟must检举吗 10/15 11:10
8F：→ freewash:换页音乐又重新开始 结果只好关喇叭 10/15 11:11
9F：推 harlemk416:楼上 可以 10/15 11:11
※ lovefordidi:转录至看板 wretch 10/15 11:11
10F：→ harlemk416:还可以跟IFPI检举 也可以跟网路警察检举 10/15 11:12
11F：推 pingpi:有检举奖金吗? 10/15 11:12
12F：→ harlemk416:但是要先确定那个是市面上发行的歌曲 10/15 11:12
13F：推 m16a218:MUST可能管不到吧... 那些自动播放的音乐大多是自创的 10/15 11:12
14F：推 hatako:ㄎㄎ 不能放Javascript 有些人的广告都没用了 10/15 11:13
15F：推 ll1:帅啊！那天天上无名开始检举 10/15 11:13
16F：推 GameDemon:甚麽烂方法 = = 10/15 11:13
17F：推 GunsNRoses:这时候用火狐的好处就来了XD 10/15 11:14
18F：→ final01:chroot比较有八卦吧 10/15 11:14
19F：推 F7:用FF可以把自动播放给档掉 10/15 11:14
20F：推 sunnywing:扑灭无名自动播放音乐检举大队 10/15 11:14
21F：→ pingpi:自动播放很讨厌 10/15 11:14
22F：→ F7:看看FF,苹果,google的浏览器 比起来微软真的很不长进 10/15 11:15
23F：推 kenro:赞成关掉自动拨放+1 10/15 11:16
24F：推 kuninaka:用FF 颗颗 10/15 11:17
25F：推 lats:逛网路最鸡巴就是网站放音乐盖掉自己正在听的 10/15 11:21
26F：推 fakgodskings:自动播放超机车 10/15 11:21
27F：推 VGA:大部分只是去看妹..可能会影响少数大咖部落客.再特权开放就好 10/15 11:25
28F：推 IL12: 那就赶快检举... ^^ 制造对立! 10/15 11:29
29F：推 JokePtt:我用Firefox Javascript早就关起来了... 10/15 11:29
30F：推 gorhow:水啊 关不掉的音乐 每次都想问候他全家 10/15 11:36
31F：→ wush:自动播放音乐烦死了+1 10/15 11:39
32F：推 valenci:没用过了。 10/15 11:41
33F：→ des1267:自动播放音乐真的很吵又很无脑 10/15 11:42
34F：推 CCY0927:Firefox + Adblock Plus + Stop Autoplay 是好物 XDDDDDD 10/15 11:42
35F：推 sgracee:网志相簿放音乐真的是很脑残 完全只考量自己 却不考量浏览 10/15 11:59
36F：→ mmeow: 嘻嘻，锁右键掰掰～ 10/15 11:59
37F：→ sgracee:者立场 放一堆有的没的 什麽小时钟.天气.宠物...orz 10/15 11:59
※ ZenUp:转录至看板 Blog 10/15 12:02
38F：嘘 Aesleep:纯嘘不愿具名的资安专家 10/15 12:06
39F：推 kawazakiz2:有很多无名都会让我的PC面当机 10/15 12:06
40F：推 hopeangel:Firefox + Adblock Plus + Stop Autoplay 是好物 10/15 12:08
41F：推 shainn:楼上们可以不要去看那种网志阿= = 10/15 12:13
42F：→ shainn:放音乐的网志 不通常都是白目国中生比较多? 10/15 12:13
43F：推 andy199113:无聊 无名原本就很废 正妹相簿要破也很简单... 10/15 12:20
44F：推 newstar2007:欢迎使用KKBOX部落格音乐盒 10/15 12:23
45F：→ sisay:自动播放音乐真的很机八 10/15 12:26
46F：推 PTTccGod:一堆人自以为放音乐很有趣 别人会喜欢 凸 10/15 12:43
47F：→ PTTccGod:shainn 一堆高中生和大学生 都会在网志或相簿自动放音乐 10/15 12:43
48F：→ PTTccGod:反正使用网志的人大概分成两类:喜欢播音乐和推文痛恨这种 10/15 12:44
49F：推 ll1:前三年的国中生=现在的高中生 前三年的高中生=现在的大学生 10/15 12:44
50F：→ kevinaa:安全就没有流出照看了 哭哭 10/15 12:58
51F：→ hera1016:後台 大改版 10/15 13:17
52F：推 Asucks:基本上，我只要看到丁丁大站的网页就不会去点 10/15 13:41
53F：推 headiron:厌恶改滑鼠与播音乐+1 10/15 13:50
54F：推 huabandd:智障无名~音乐广告通通关掉拉 10/15 13:51
55F：→ huabandd:7楼XDDDDDDDDDDDDDDDDDDDDDD这招太棒了!!!! 10/15 13:51
56F：推 ayinie:我也很讨厌blog放音乐 很吵 拿掉好~ 10/15 13:51
57F：推 adkue:自动播放音乐超机八 禁掉最好 10/15 13:58
58F：推 zewbt:换页音乐又重新开始真的快发疯了 都一值前奏 又导致开网页蔓 10/15 14:14
59F：嘘 mmmbop:会不会看中文 10/15 14:36
60F：嘘 id:跟台大有屁关系啊 10/15 14:41
61F：推 DCHC:不喜欢还看，不是很矛盾吗？ 10/15 14:43
62F：嘘 anode36:会不会看中文阿 明明就是後台 台你Ｘ的 劣退 10/15 16:09
63F：推 jerry9988:无名掰~ 10/15 16:39
64F：推 tonyselina:自动播放去检举好了 XDDDDDDDD 10/15 17:47
※ SteveArthur:转录至看板 NTHU_TM96 10/15 18:00
65F：推 elmush:无耻小站吃屎 10/15 18:10
66F：→ elmush:自动播放音乐真的很丁丁 10/15 18:11
67F：推 discbear:我也很讨厌blog放音乐= =..很吵 10/15 21:48
68F：推 ccmccmccm:里面有个部分没有写的很详细 无名的问题是CSRF 不是XSS 10/15 21:49
69F：→ ccmccmccm:不过CSRF 也的确可以归类到XSS 10/15 21:49
70F：嘘 tonyselina: 10/16 04:21
--
Fx Op Sa
GC IE Ma SL GB
欢迎到
Browsers板 - Your Web, Your Choice.
Take Back the Web, The Better Internet Experience.
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 140.123.220.49
71F：推 avaug:blog音乐播放器是用JS语法吗? 10/16 18:59
72F：→ ileadu:最好把整个无名都收掉 .. :p 10/16 19:07
73F：→ knives:无名赶快收起来吧 10/16 19:23
74F：推 lim3:太好了...快把JS拿掉=___= 10/16 19:58
75F：推 LIONDODO:不用自动播放！ 10/16 21:03
76F：推 MilchFlasche:我也觉得是因噎废食。很多边栏小玩意没JS就不用玩了 10/16 21:44
77F：推 MikageLin:因噎废食 10/16 23:52
78F：推 kaoh08:因噎废站卡实在 10/17 00:50
79F：推 menb:整个收掉卡实在 10/17 09:12
80F：推 godjack0709:无名以後会为了防止别人盗图 而把相簿功能取消 10/17 12:26
81F：→ lim3:使用者:这真是太超过了! 10/17 20:38
82F：推 Raza:哈 爽 10/17 23:45