m17 Jan 7 2009 at 02:54

Re: Примитивная защита от фишинга

4 min

616

Lumber room

Comments 27

tenshi Jan 7 2009 at 03:11

а чем встроенная «защита» не угодила?

m17 Jan 7 2009 at 03:18

Встроенная действует на основы базы «плохих» сайтов, которую не всегда оперативно пополняют. Собственно, топик на который я сослался, этим несовершенством и был порождён.

zencd Jan 7 2009 at 03:19

Это универсальный подход. Работает всегда.

Гугл и компания не всегда (бывает что и «никогда») успевают обновить базы к моменту когда я вижу фишерскую ссылку.

zencd Jan 7 2009 at 03:16

Не ну списки это не дело. Тем более что случай с Народ.Диском простейший — сравнивать только хосты и всё.

Респект. Хорошо бы, только, в Мозилле это внедрили :-).

m17 Jan 7 2009 at 03:20

narod.ru/disk/4812122000/fishurl-svn10.xpi.html
01.dl14sd-narod.yandex.ru/disk/4812122000/he9f1b5cf7c143e9e9b22708d7b003a1a/fishurl-svn10.xpi

Первое — текст, второе — URL, напрямую с таким срабатыванием не побороться.

zencd Jan 7 2009 at 03:26

У меня по другому:
1) narod.ru/disk/4812122000/fishurl-svn10.xpi.html и
2) narod.ru/disk/4812122000/fishurl-svn10.xpi.html#

Разница только в амперсанде. Тем не менее перечёркнуто.

m17 Jan 7 2009 at 03:27

В том и дело, вы никуда не перешли, остались там же, а попробуйте согласиться и посмотрите на URL.

zencd Jan 7 2009 at 03:39

Окей. Предлагаю такой алгоритм, а то мы с вами плохо друг друга понимаем:

1) Сделайте тестовый файлик с ссылкой, отличающейся от текста лишь на «решётку»
2) Убедитесь что ссылка перечёркнута
3) Подумайте «а стоит ли оставлять это как есть?»
4) Почините (это и далее — опционально)
5) Снова зайдите на Яндекс — не изменилось ли чего.

(А тот длинный урл вообще в HTML не светится.)

m17 Jan 7 2009 at 03:59

Ну вот, взгляните. Вероятно вы видите ошибку именно так, а не иначе, потому что к ссылочке дорисовывалась # при нажатии.

zencd Jan 7 2009 at 04:08

Ааа. Вы подменяете ссылку… Ну что же, тоже не самый гуд: мне предлагают пеерйти или не перейти по ссылке, но по какой — скрывают. Полагаю, можно свой лисенер повесить, не теряя href'а.

Ну да, тогда против белого списка ничего не имею :-)

m17 Jan 7 2009 at 04:16

Процитирую себя:
«Так же, в href кладётся «#» (а начиная с версии svn11 вообще href убирается), дабы пользователь не перешёл по ссылке перетягивая её (с помощью какого-нибудь расширения вроде QuickDrag).»

Ах, да пожалуйста, расскажем мы вам и по какой ссылке :) Ждите следующую версию!

m17 Jan 7 2009 at 04:28

fishurl-svn12.xpi

На здоровье!

zencd Jan 7 2009 at 03:23

Если нажать Cancel в диалоге «хотите попробовать», то всё равно что-то дальше продолжает грузиться. Полагаю, не так задумывалось.

m17 Jan 7 2009 at 03:26

По ссылке не должно переходить, максимум «нажать» на якорь (#).

zencd Jan 7 2009 at 03:29

Just a fact.

m17 Jan 7 2009 at 03:39

По заявкам читателей, теперь даже по якорю на клацает:

item.removeAttribute(«href»);
item.setAttribute(«rel», «nohref»);

Через пару минуток загружу версию svn11.

m17 Jan 7 2009 at 04:03

Не* клацает, простите, опечатался.

Rev11 прибыла, в топике уже исправил.

jeje Jan 7 2009 at 08:51

Глупо, для таких ссылок есть status bar, который показывает куда она ведет. А если в ссылке написано Вконтакте, как тогда сравнивать? :)

m17 Jan 7 2009 at 11:22

Будьте добры, прочтите вот этот топик, загляните там в комментарии, и поймёте откуда что взялось и почему такой вариант не рассматривается. А данный топик — уже реализация идеи!

jeje Jan 7 2009 at 11:35

99% такое устанавливать не будут, а те кто знают — внимательно относятся к такому делу.

zencd Jan 9 2009 at 10:54

Ловко вы распилили аудиторию — чёрные/белые.

А ведь тем кто «внимательно относится к делу» тоже непрочь попользоваться благами автоматизации.

jeje Jan 9 2009 at 10:56

что чаще всего подделывают, адреса к соц сетям, вы цените ваши соц сети? я лично мало.

jeje Jan 9 2009 at 11:21

а сейчас иногда урл прокручивают через сервисы tinyurl

zencd Jan 9 2009 at 11:25

Дык никто и не говорит что реализация идеальна :-). Проблемы есть, и немалые — Мозилла такое не прикрутит, я теперь понял.

Кстати когда юзают тиниурлы, то редко ссылку оставляют оригинальной, по моим наблюдениям.

m17 Jan 9 2009 at 14:11

Очевидно, ссылку не оставят оригинальной, иначе вообще теряется всякий смысл использования подобных сервисов, это просто абсурдно :)

zencd Jan 9 2009 at 10:52

Автор, плагин полезный! Хотя без вайт-листа не обойтись (поэтому Мозилла эту функциональность не внедрит).

Но по-моему стоит выражать более снисходительно к подозреваемым ссылкам ;-) Ну и добавить в addons.mozilla.org

m17 Jan 9 2009 at 14:09

Спасибо! Я думал над этим, действительно, не стоит так навязчиво себя вести, надо каким-то образом просто рядом выводить оба URL для таких ссылок, с сообщением о подозрении, но так, чтобы это не приводило к лишним кликам.

Whitelist действительно нужен, есть ресурсы которые именно так с ссылками и работают.

И ещё, идея. Ведь на множестве сайтов есть скрипт который «выпускает наружу»:

proto://host/linkto?url=http://goodhost/ololo

На данный момент такие ссылки считаются «плохими», необходимо обрабатывать такие случаи.