Злонамеренный скрипт, запущенный в браузере, получает сведения о mac-адресе – возможно ли такое?
В сей интересной статье http://www.securitylab.ru/news/396431.php прочитал о том, что некий хакер создал скрипт, который при запуске в браузере ворует mac-адреса.
В комментариях к ней высказана мысль о том, что этот скрипт читает таблицу arp.
Как такое возможно, если arp запускается только от root? Если конечно исключить случаи, когда лох-ламер запускает браузер от рута...
А никто не запрещает на рутере программно при загрузке прописывать левый мак-адрес.
Как раз при конфигурации с внешним рутером, ни Java ни другое активное содержимое по сути ничего не даст злоумышленнику: даже если он сломает целевую машину, он может получить доступ только к информации, хранящейся на ней, но не на рутере или на другой машине в этой же локальной сети (считаем, что нет удалённых уязвимостей). Т.е. он не сможет заставить машину что-то послать в обход Tor в сеть, т.к. трафком от машины управляет неподвластный ей рутер. "Активной" имелось в виду "направленной против вас лично". Т.е. кто-то будет, допустим, целево изучать вашу конфигурацию, софт, его особенности, и писать эксплоиты под конкретно ваш браузер, вашу ОС, и ваш случай. В каких случаях, кто и зачем стал бы это вдруг делать — решать вам :)
Как пОшло!
Вообще-то по ссылке, посредством XSS через ссылку в iframe, без предупреждений и согласия пользователя, выводит всего-лишь алерт с паролем на wifi для уязвимого маршрутизатора.
Что-то не смог протеститься, м.б. потому что ходил через заторенный браузер с выключенной поддержкой J, JS и подобной гадости?
Это уже не смешно.
ORLY? И как много рутеров это позволяют?
комментариев: 9796 документов: 488 редакций: 5664
Только поэтому и по первым комментариям, которые развивали тему именно в UnixLike окружении.