網路安全業者展示Javascript攻擊程式 文/陳曉莉 (編譯) 2007-03-26 為了讓各界暸解Javascript網站及應用程式的漏洞可能會造成嚴重的安全問題，安全業者 展示了Javascript的攻擊。 在以使用者應用為主的Web 2.0概念興起後，專門用來撰寫網路服務的Javascript及AJAX 程式語言也隨之大行其道，但網路安全業者SPI Dynamics在上周六（3/24）舉行的 ShmooCon駭客會議中展示了Javascript攻擊程式，目的是為了讓各界暸解Javascript網站 及應用程式的漏洞可能會造成嚴重的安全問題。 SPI Dynamics研究人員Billy Hoffman在部落格中表示，去年以來跨網站描述（ Cross-Site Scripting，XSS）漏洞所造成的損害不斷擴大，再加上Javascript的新功能 將能讓駭客透過XSS執行更先進的攻擊，包括可自我繁殖的XSS+AJAX蠕蟲、鍵盤及滑鼠側 錄、偵測連結埠、攻擊企業內應用程式，以及竊取搜尋引擎查詢或瀏覽器歷史紀錄等，這 些種種的惡意程式現在都在駭客的工具箱裡頭了。 Billy Hoffman指出JavaScript的漏洞出現在各個網站，從知名的線上零售業者到大型的 金融服務網站。 要執行一個跨網站描述攻擊，駭客通常是透過一個合法網站的漏洞將惡意程式植入使用者 的瀏覽器中，之後再存取使用者的個人資料，由於此一攻擊是針對網站漏洞，因此使用者 幾乎是無計可施，除非使用者關閉瀏覽器中的JavaScript功能，否則還是得依賴業者維護 其網站安全。 為了證明所言不假，Billy Hoffman展示了用JavaScript所開發的Jikto漏洞偵測工具，它 可偵測網站或線上應用程式的漏洞，還能載入使用者瀏覽器中，並搜集使用者電腦中的資 料，再將這些漏洞及個人資料回傳到駭客手中。 Billy Hoffman說該公司並不會公布Jikto程式碼，以避免被濫用，此一程式只是為了讓網 站開發及管理人員了解，駭客很容易就能結合JavaScipt、AJAX或其他網站技術進行強力 攻擊。（編譯/陳曉莉） http://www.ithome.com.tw/itadm/article.php?c=42630 --

※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 134.208.2.124