作者idej (Jedi)
看板Browsers
标题[-Fx-] NoScript 造成的安全性漏洞
时间Sat May 2 14:28:46 2009
不久前 Adblock Plus 的作者在他的部落格上，写了一篇文章:
http://adblockplus.org/blog/attention-noscript-users
落落长的英文，重点摘要如下：
- NoScript 很邪恶，为了赚广告钱不择手段
稍微长一点的要点翻译整理：
- NoScript 为了赚钱，强迫大家每一次更新都会跑去看他那满满广告的
changelist 网页
- NoScript FAQ 宣称只有「重大版本更新」的时候才会这样，但是
实际上是每次更新都会
- 通常 NoScript 挡掉网页上的 JavaScript 的时候，就会挡掉一些广告；
但是 NoScript 的预设白名单当中包含了 NoScript 网页的网域
- 有心人士将可以利用 NoScript 的网页来执行 XSS
- 两周前 Adblock Plus 的 EasyList 开始会挡 NoScript 网页上的广告
- 为了广告，NoScript 并且与 Adblock Plus「不相容」
- NoScript 网页开始用各种手段来避开 EasyList，EasyList 则不断修改；
到了一周前，新版 NoScript 扩充套件加入了一些针对 Adblock Plus 的
恶意程式码，用来停用 Adblock Plus 的部份功能，结果就是，
在许多网域 (尤其是 NoScript 网页的网域，但不限於) 显示会乱掉
- 由於有 Mozilla 的附加元件政策，因此 NoScript 的作者同意拿掉前述
那个针对 Adblock Plus 所加入的恶意程式码；但是在昨天所释出的新版
NoScript 当中，会主动把一份「过滤条件清单」加到 Adblock Plus，
其中把 NoScirpt 网站的相关网域列入白名单
- NoScript 网站上宣称这是「因为 EasyList 意图攻击 (NoScript) 开发者
的网站，使得许多功能烂掉，所以我们加入了这份白名单」
- 实际上 EasyList 就只是在挡广告而已。NoScript 网页意图
规避 EasyList 才是造成所谓「不相容」的主因
- 这份 NoScript 加入的白名单不会事先取得使用者同意，就迳行加入；
而且加入後无法移除（移除的话下次开启 Firefox 时会自己加回来），
只能停用。就算反安装 NoScript 後，那个白名单也还是在。
注：
现在的 NoScript 网页上说，NoScript 1.9.2.6 会不经询问自动移除
前述的白名单....
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 61.229.155.22
1F：→ sicao:改装YesScript? 05/02 14:33
2F：推 knight00931:有没有那麽黑暗... 05/02 14:38
3F：推 Xconqueror:还好我不用这套件~~NoScript真邪恶~~ 05/02 14:48
4F：→ idej:NoScript 原本的卖点是「预设挡全部」，YesScript 则不是啊 05/02 14:56
5F：推 Alexboo:终於战了 早就对Noscript不爽很久了 05/02 15:52
6F：推 ateclean:战啦战啦战啦 我的OP是预设JS全关的说～ 05/02 15:58
7F：推 jtmh:标题杀人？除了「有心人士将可以利用 NoScript 的网页来执行 05/02 16:23
8F：→ jtmh:XSS」之外，其他讲的似乎跟安全性漏洞无关？ 05/02 16:24
9F：推 Kenqr:现在用到JS的网页很多 全挡掉并不是个好方法 05/02 17:04
10F：→ Kenqr:所以我都是用YesScript 只挡想挡的 05/02 17:05
11F：推 art1:幸好没在用了XD adblock plus比Noscript重要多了 05/02 17:33
12F：推 karst10607:很久之前用过Noscript一段时间 确有同感(ADP也比较好) 05/02 17:37
13F：→ avaug:Noscript蛮鸡肋的 05/02 17:47
14F：推 richjf:换用YesScript好了...反正要挡的也只是固定几个. 05/02 18:11
15F：推 richjf:有安装过要先升1.9.2.6 再反安装. 05/02 18:15
16F：推 bestpika:使用者自订的部份优先权应该最高吧? 05/02 18:44
17F：推 tokugawa:把NoScript的网域从预设白名单中移除不就好了 05/02 20:05
18F：推 bestpika:楼上....前面有说重开还会被自动加回去 05/02 20:29
19F：→ bestpika:不过新版本有自动移除掉了就是 05/02 20:29
20F：推 tokugawa:我是说NoScript自己预设的白名单，不是对adblock plus的 05/02 21:11
21F：→ idej:这边的问题在於，安装/更新完之後才能把预设白名单删除 05/02 22:48
22F：→ idej:但是在做这件事之前，就会先连到 NoScript changelist 网页 05/02 22:48
23F：→ idej:这个时间点就有可能先中 XSS 了 05/02 22:48
24F：→ idej:(当然话说回来，对NoScript网站不信任的前提下，的确是连 05/02 22:54
25F：→ idej:NoScript扩充套件的程式码也不能信任，而不应该安装了...) 05/02 22:54
26F：推 doom3:NOSCRIPT的作者很夸张喔...留这污名 谁还敢用它 05/03 10:20
27F：→ norlan17m:很多套件更新都会连到网页吧...感觉只是两个套件的纷争 05/03 10:35
28F：→ norlan17m:基本上套件大部分人不知道是否安全,乾脆都不要装？ 05/03 10:36
29F：→ knight00931:会每次更新都连过去的的确是有阿 像flashgot 05/03 10:41
30F：推 pttdog:内行都用 YesScript 自由自订 NoScript规则给人订谁相信 05/03 11:50
31F：→ emethxyz:YS的问题就是不能预先挡住一些可疑网站 05/03 12:39
32F：→ emethxyz:而NS因为预设全挡所以没这问题 05/03 12:40
33F：→ emethxyz:像是跑到不知名的地方去 总不该先中毒了再把他ban掉吧 05/03 12:40
34F：推 knight00931:推楼上，像小游戏版那个武林大会的弹出视窗多到2~4万 05/03 13:05
35F：→ knight00931:个，很扯，总不能等他跑到当掉之後才想去把他加黑名单 05/03 13:05
36F：→ knight00931:不挡又不行... 05/03 13:08
37F：推 uoyihc:那麽究竟NS有没有实质危险呢? 我看addons的网站NS已经被骂 05/03 13:37
38F：→ uoyihc:翻了... 05/03 13:38
39F：推 norlan17m:认为no应该比yes好,只相信你相信的,一堆网页可能有问题 05/03 13:55
40F：→ norlan17m:noscript也可以定规则，一般人还是no比较好 05/03 13:56
41F：推 Kenqr:Firefox本来就会阻挡有害的网站了 不觉得有需要挡JS 05/03 16:13
42F：推 jtmh:如果真的有去看过 NoScript 预设白名单的，会发现 yahoo.com 05/03 16:46
43F：→ jtmh:和 yimg.com 也在其中，试问其他有心人士真的要做 XSS 的话， 05/03 16:47
44F：→ jtmh:是透过 yahoo 庞大的各式网页较好下手，还是 noscript.net 呢 05/03 16:49
45F：→ jtmh:这整件事根本是反广告人士 (ABP) 与利用更新时赚广告费 (NS) 05/03 16:51
46F：→ jtmh:之战，就我个人而言我是不反对 NoScript 更新会带我去看广告 05/03 16:53
47F：→ jtmh:NoScript 唯一错的是後来试图去干扰 Adblock Plus, 不过既然 05/03 16:56
48F：→ jtmh:作者已经出来道歉，也已经作出修正，就先把 NS 留校察看了 XD 05/03 16:58
49F：→ norlan17m:白名单真的都不放心，全部砍掉不就好了？ 05/03 17:29
50F：→ norlan17m:firefox挡的应该只是名单,有的网站被加料，不一定知道 05/03 17:34
51F：→ timmy5519:每一秒钟都有网站被加料 05/05 19:08