Car-tech

Ang humahadlang sa HTML5 sa mga nangungunang mga browser ay nag-imbita ng imbakan ng data ng basura

AngularJS Tutorial 9: Introduction To Controllers

AngularJS Tutorial 9: Introduction To Controllers
Anonim

Nakakita ng security researcher ang isang daan sa kung paano ipinatupad ang standard na HTML5 Web Storage sa Google Chrome, Internet Explorer, at mga browser ng Apple Safari na maaaring payagan ang mga nakakahamak na website na punan ang mga hard disk drive ng mga bisita na may malaking halaga ng data ng junk.

HTML5 Web Storage ay tumutukoy sa API (application programming interface) na nagpapahintulot sa mga website na mag-imbak ng mas maraming data sa loob ng mga browser kaysa noon ay posible sa pamamagitan ng paggamit ng cookies, na kung saan ay limitado sa isang sukat ng maximum na 4KB.

Ang katangian ng localStorage ng Web Storage API ay nagpapahintulot sa mga website na mag-imbak sa pagitan ng 2.5MB at 10M B ng data sa bawat pinagmulan-pangalan ng domain-depende sa browser na ginamit. Ipinapatupad ng Google Chrome ang isang limitasyon ng 2. MB, isang limitasyon ng 5 MB ng Mozilla Firefox, at isang limitadong 10MB ng Internet Explorer.

[Karagdagang pagbabasa: Paano alisin ang malware mula sa iyong Windows PC]

Gayunpaman, ang pamantayan ng Web Storage warns na ang ilang mga website ay maaaring subukan upang iwasan ang limitasyon sa imbakan sa pamamagitan ng pagtatago ng data mula sa kanilang mga subdomain. "Dapat na bantayan ng mga ahente ng user ang mga site na nagtatabi ng mga data sa ilalim ng mga pinagmulan ng iba pang mga kaakibat na site, halimbawa ang pag-iimbak ng hanggang sa limitasyon sa a1.example.com, a2.example.com, a3.example.com, atbp, pag-iwas sa pangunahing storage ng example.com

"Ang Chrome, Safari, at IE ay kasalukuyang hindi nagpapatupad ng anumang limitasyon sa imbakan ng naturang 'kaakibat na site," sinabi ng Web developer at tagapangasiwa ng seguridad na si Feross Aboukhadijeh sa isang "limitasyon" ayon sa pamantayan na inilathala ng World Wide Web Consortium. kamakailang post ng blog. Dahil ang mga may-ari ng website ay maaaring bumuo ng mga subdomain sa kalooban, maaari nilang gamitin ang lusaw na ito upang epektibong makakuha ng walang limitasyong espasyo sa pag-storage sa mga computer ng mga bisita, sinabi niya.

Aboukhadijeh ay lumikha ng isang website ng patunay-ng-konsepto na gumagamit ng trick na ito upang punan ang hard disk ng mga bisita nagmaneho na may data ng basura. Ang site ay sinubukan gamit ang Chrome 25, Safari 6, Opera 12, at IE 10, at may kakayahan na magsulat ng 1GB ng data tuwing 16 segundo sa isang Macbook Pro na may solid state drive (SSD), sinabi ng researcher

"Para sa 32-bit na mga browser, tulad ng Chrome, ang buong browser ay maaaring mag-crash bago mapuno ang disk," sabi ni Aboukhadijeh. Ang pag-atake ay hindi gumagana sa Firefox dahil ang "pagpapatupad ng Firefox ng lokal na tindahan ay mas matalinong," sinabi niya.

Kinilala ng mga developer ng Chrome ang isyu sa isang entry sa tagasubaybay ng bug ng Chrome, ngunit maaaring hindi madali ang paghahanap ng fix. Ayon sa ilang mga tao na kasangkot sa talakayan, ang paglilimita sa puwang ng localStorage para sa mga subdomain na may kaugnayan sa limitasyon para sa kani-kanilang mga domain ay maaaring lumikha ng mga problema sa mga site tulad ng Github Pages o Appspot na nagbibigay ng mga user sa kanilang sariling mga subdomain upang lumikha ng mga proyekto.