AJAX in.pl

JavaScript Hijacking - porwania w AJAX’ie

Firma Fortify Software przedstawiła nowy rodzaj ataków JavaScript Hijacking. Wykorzystuje on lukę w przesyłaniu danych, omija zabezpieczenie tzw. politykę wspólnego pochodzenia (ang. Same-Origin Policy).

Specjaliści przeanalizowali 12 najbardziej popularnych frameworków, 4 z nich to pakiety działające także po stronie serwera, Direct Web Remoting (DWR), Microsoft ASP.NET Ajax (wcześniej Atlas), xajax and Google Web Toolkit (GWT) oraz działające wyłącznie po stronie klienta Prototype, Script.aculo.us, Dojo, Moo.fx, jQuery, Yahoo! UI, Rico, and MochiKit.

Tylko jeden z nich, DWR 2.0 stosuje funkcje zabezpieczające przed JavaScript Hijacking!

Skrypty wymieniające dane w postaci JSON, są narażone na tego typu ataki. Istnieje wtedy możliwość dołączenia tagu <script> , który załaduje skrypt z zewnętrznego źródła. W ten sposób omija się ‘politykę wspólnego pochodzenia’, mając większe prawa działania. Pozwala to na kradzież przesyłanych danych, które miały być dostępne tylko dla danego użytkownika.

Więcej o JavaScript Hijacking można przeczytać w sprawozdaniu Fortify Software oraz w FAQ ataków JavaScript Hijacking.