Ошибки в программах,хранящихся и запускающихся не на компьютере пользователя,возглавляют список самых распространенных опасностей.К их числу относятся так называемые уязвимости межсайтового скриптинга (Cross-Site Scripting,XSS) и ошибки внедрения кода SQL (обращения к базам данных)В этих случаях пользователю приходится надеяться,что программирование веб-страницы выполнено в соответствии с правилами сервера:в обоих сценариях код выполняется в среде,которую сервер должен самостоятельно перепроверять,что случается не всегда.Даже Google не избежал этой опасности:примерно пол года назад почта Gmail оказалась уязвима для атак XSS.Дело в том,что этот мировой гигант использовал для демонстрации процесса загрузки данных Flash-ролик под названием uploaderapi2.swf,скрипт которого позволял выполнение поддельного сценария при нажатии пользователем на инфицированную ссылкуюБыло немало случаев полной потери контроля над учетными записями Google:хакер не только получал доступ к почте,но мог украсть весь аккаунт.Опасность XSS-атак через "дыры" в технологии Flash сильно недооценивается.В начале позопрожлого года хакер с ником MustLive указал на уязвимость файла tagcloud.swf,который использовался вместе с программой для блогов WordPress.Поиск информации об этом файле в Google выдал более 3 млн совпадений,указывающих на наличие бреши в безопасности.Опасности атак XSS возрастает,если в защитные инструменты браузера вкралась ошибка.В первую очередь это касается Internet Explorer:его XSS-фильтр наиболее уязвим.Хакер,использующий бреши в фильтре,может выполнять межсайтовый скриптинг даже на надежных сайтах,таких как Bing.Google или Wikipedia.
В верхней части шкалы рисков также размещаются атаки,немного корректирующие принцип XSS-например,использующие измененные запросы пользователей (Cross Site Request Forgery,CSRF)Как и в случае с межсайтовым скриптингом,пользователя провоцируют перейти по опасной ссылке-например,с помощью распространенного короткого URL.Браузеру подсовываетсяподложный исполняемый код,который начинает действовать после авторизации пользователя на атакуемом веб-сайте.Если тот ставит галочку напротив пункта "Запомнить меня",его данные доступа сохраняютя с помощью идентификатора сессии или в cookie-файле.Благодаря CSRF хакер может считать эту информацию,после чего будет определяться как зарегистрированный пользаватель и сможет выполнять от его имени различные действия.
С помощью CSRF была использована не по назначению целая серия учетных записей кинопрокатчика Netflix.Цель заключалась в пересылке DVD на другие адреса за счет владельцев этих аккаунтов.Таким же образом были опустошены банковские счета иностранных финансовых институтов,не использующих пароли PIN/TAN,ф недавно с помощью CSRF был атакован известный видеопортал Vimeo.Последствия этого были вполне наглядны:хакеры смогли от имени постратавшего пользователя закачать,видеофильмы,оставить комментарии,а также изменить его личные данные.
Самой распространенной брешью в приложения для Windows по праву считается переполнение буфера памяти.Это можно наглядно проиллюстрировать с помощью утилиты Easy RM to MP3 Converter,если задать в ней обработку плейлиста MP3-файлов,состоящего из 30 000 записей.Данное действие приводит к сбою приложения,а переполнение буфера становится уязвимостью,которую хакер может использовать для записи вредоносного кода в другую область памяти.В коде будет указано,что именно программа должна сделать после прочтения этого файла-например,запустить командную строку службы Windows Telnet и связаться с другим компьютером.
Таким атакам подвержены утилиты,написанные на языках C и C++,которые имеют прямой доступ к аппаратному обеспечению.В их число входят такие привычные программы,как Firefox,Nero,Photoshop и многие другие.
Оиносительно невосприимчивы к атакам с использованием этой уязвимости утилиты,робатающие в таких средах,как Java и .NET Framework,однако лишь тогда,когда сама среда написана без ошибок.Так,в случае с Java только в 2010 году было обнаружено свыше 20 новых "дыр".
Во многих веб-обозревателях предусмотрена защита от определенных типов переполнения буфера,которая перепроверяет правильность адреса возрата.Переполнение памяти,однако,вызывается и рядом других ошибок программирования,связанных с "дырявым" управлением ресурсами оперативной памяти.
Так,в браузере Opera вплоть до версии 10.50 можно было спровоцировать ошибку целочисленного переполнения Integer Overflow.
Недавно компания Google оценила выявление аналогичной ошибки в браузере Chrome в $ 1300.Это самая крупная сумма,которую концерн выплатил в рамках инициативы Chromium Security.В Google Chrome переполнение вызывает слишком большое значение для WebGL Engine,использующего видеокарту.
При работе антивирусов на компьюте с системой Windows производится автоматическое обновление сигнатур и самой программы.Весь этот процесс осуществляется с использованием прав администратора,что создает дополнительные угрозы.При возникновении ошибки может произойти самое страшное:система не просто зависает-она разрушается.Это продемонстрировала компания McAfee,выведя из строя целый ряд компьютеров,работающих на базе Windows.
Проблема была в ошибке в файле сигнатур,в результате которой системный файл svchost.exe определялся как вирус и деактивировался.Пострадавшим пользователям пришлось запустить ОС в безопасном режиме и установить исправленную версию файла сигнатуры с USB-накопителя.
Однако не только эта фирма допускает промахи.Например,модуль ActiveX антивируса Panda собирался скачать обновление для программы без предварительной проверки его происхождения (ошибка 21).А аналогичный модуль компании Symantec в феврале позопрошлого года был подвержен переполнению буфера. 8)
