@Mithgol14 мар 2010 в 07:51

Авторы расширений, хакеры браузера, встречайте js-ctypes

7 мин

2.3K

Firefox

Туториал

Перевод

+28

Комментарии 41

@Hemul 14 мар 2010 в 08:03

а как это расширение попадет в браузер? И что будет с security (риторический вопрос)?

@Mithgol 14 мар 2010 в 08:07

Как явствует из первого примера, библиотека js-ctypes будет доступна каждому такому расширению, которое подгрузит её с адреса «resource://gre/modules/ctypes.jsm» (адрес этот локальный).

Безопасность будет достигнута за счёт того, что эта библиотека доступна только для расширений (которые и без неё могут сделать всё что угодно), а не для сайтов большой и страшной Паутины.

@UdarEC 14 мар 2010 в 10:00

Ну мне кажется очень сложно будет такое применить безопасно)

@stampoon 14 мар 2010 в 10:23

Вам кажется :)

@stampoon 14 мар 2010 в 11:25

Минус-то обоснуйте. Один бес, расширения могут творить что угодно, а кроме как им, js-ctypes больше ничему не доступен. Ну и где тогда проблема?

@Xpeh 14 мар 2010 в 17:58

Расширения могут взаимодействовать с открытыми страницами. Были уже уязвимости в расширениях, с этим связанные. (В том числе в грязной обезьяне и фаербаге с выполнением любого кода в контексте расширения).

Например, расширение берёт какую-нибудь строку с открытой страницы и передаёт её в функцию WinAPI, которой надо явно указывать длину, и в результате переполнение.

@UdarEC 16 мар 2010 в 12:22

Я не минусовал) Увидим скоро, как окажется на самом деле) возможно вы и правы)

@akzhan 14 мар 2010 в 17:06

Прочитайте ещё раз, на что вы отвечали.

Плагины и сейчас могут всё.

@m52 14 мар 2010 в 11:05

Местный код — это пздц. Написал бы хотя бы «родной».

@Mithgol 14 мар 2010 в 11:28

Расширению он не родной совсем.

@shergin 14 мар 2010 в 12:54

Ну и ни разу не «местный».
Мицгол, спасибо тебе за перевод, но использование слова «местный» в значении «нативный» не красит ни тебя, ни твой текст. И не делает обоих русскими.

@corristo 14 мар 2010 в 12:15

+1, торжество надмозгов.

@bolk 14 мар 2010 в 12:43

Я что-то в тексте ни одной ссылки не могу найти. Где встречать-то?

@shergin 14 мар 2010 в 12:58

Видимо в 3.7 ее можно загрузить вот так: resource://gre/modules/ctypes.jsm
Вообще, идея хорошая, с ее помощью можно будет еще больше частей Firefox'а переписать на Javascript.

@bolk 14 мар 2010 в 13:01

Плохая идея, негодная. С её помощью родится куча расширений, привязанных к операционной системе.

@shergin 14 мар 2010 в 13:16

Уже сейчас можно запросто написать расширение, которое будет привязано к системе.
Разработка расширений для Firefox уже сейчас — рокет сайнс, еще больше ее усложнить уже кажется нереально, поэтому еще один стотысячный путь сделать что-то неправильно вряд ли усугубит ситуацию.

@bolk 14 мар 2010 в 13:20

Насчёт запросто — не знаю. Каким образом? Привязаться к системным путям?

@shergin 14 мар 2010 в 13:30

Коллега, у нас процентов 20 ошибок связаны с работой расширения на разных ОС. Пути и методы их формирования, конечно, первый путь, но обычно ошибки не так очевидны, связаны с различиями в управлении окнами, фокусом, скинами, выводом графики и пр.

@bolk 14 мар 2010 в 13:40

Понятненько. Ну, теперь этот процент будет выше :)

@Aux 14 мар 2010 в 13:08

Привет ActiveX!

@shergin 14 мар 2010 в 13:18

А вот ActiveX тут совсем непричем.

@Aux 14 мар 2010 в 13:26

В 1996-м году ActiveX тоже был секьюрным и всячески волшебным. А спустя 5 лет вы сами знаете что случилось. Сейчас FF займёт ещё 10% рынка и мы поимеем все «прелести» популярности. Только в этот раз счастье будет не только у пользователей Windows, но и у пользователей Linux и MacOS X.

И не надо рассказывать про то, что без рута ничего сделать нельзя — качать порно-траффик можно и под обычным юзером.

@shergin 14 мар 2010 в 13:35

Вы путаете.
ActiveX — решение контекста пользовательской страницы. Но оно даже проектировалось не как шибко безопасное.
Firefox extension — решения контекста браузера.
Любой расширение для Firefox абсолютно не безопасно (об этом вас четко предупреждают при его установке), оно может выполнить абсолютно любое действие с правами самого браузера. Более того, расширение может ненароком добавить в ваш браузер уязвимость, которая позволит сторонним веб-страницам получить эти же самые права.

@Aux 14 мар 2010 в 13:40

Я не путаю. Уже были наработки на тему несанкционированной скрытой установки расширений. Учитывая возможности экстеншенов такая установка может выпонить заливку какого-то кода на комп и удаление расширения. В итоге пользователь вообще ничего не заметит.

@shergin 14 мар 2010 в 13:55

Может быть вы и не путаете, но логики в ваших словах точно не много. Перечитайте весь тред и обоснуйте ваши соображения об ущербе безопасности еще раз подробно.

@Aux 14 мар 2010 в 13:59

Расширения — изначально большая дырка. Теперь «портировать» известные мальвари будет ещё проще. А так ничего особенно не поменяется.

@shergin 14 мар 2010 в 14:03

Я воздержусь от оценки безопасности Firefox'а.
Но если представить гипотетическую угрозу, то сегодня на XPCOM было бы весьма удобно писать кросс-платфоменное «мальваре».

@Aux 14 мар 2010 в 14:11

Тут уже исключительно вопрос рыночной доли. С выходом IE8 + Win7 ломать IE стало настолько сложно (не невозможно, но экономически нецелесообразно), что сейчас все силы идут на эксплойты продуктов Adobe.

НЛО прилетело и опубликовало эту надпись здесь

@shergin 14 мар 2010 в 13:39

Вообще-то в 3.6 уже есть этот модуль.
resource://gre/modules/ctypes.jsm

let EXPORTED_SYMBOLS = [ "ctypes" ];
const init = Components.classes["@mozilla.org/jsctypes;1"].createInstance();
init();

@bolk 14 мар 2010 в 13:41

А использовать получается? В браузерах встречается функционал, который, вроде, есть, но не анонсирован и не работает.

@Mithgol 15 мар 2010 в 16:58

Возможно, ещё не настолько навороченный? (А иначе чего это тот блоггер, которого я перевёл, говорит именно о следующей версии Файерфокса?)

@Mithgol 15 мар 2010 в 17:05

Опять же и на MDC пишут, что Firefox 3.7.

@q0p 14 мар 2010 в 15:37

Я человек далёкий от программирования, и смысл статьи, к сожалению, почти не уловил.
Возможно ли, с помощью описанного решения, подключить к лисе, например, библиотеки кодека H.264 и заставить лису при проигрывании ролика кодированного этим кодеком отображать его через тег <vidео> описанный в HTML 5? Просто временный костыль, до которого я сумел додуматься — довольно убогое решение, до которого я пока сумел додуматься.

@Mithgol 15 мар 2010 в 17:03

Нет, потому что тег <video> не настолько скриптуется.

Можно было бы расширением заменять его на <object> для использования плагина.

Но тут js-ctypes не нужен.