Какие скрипты вставляет провайдер в ваш трафик?

Рекомендуем почитать:

Xakep #304. IP-камеры на пентестах

• Содержание выпуска
• Подписка на «Хакер»-60%

На Github опубликован позорный скрипт, который американский интернет-провайдер Comcast автоматически вставляет в веб-трафик своих пользователей. Этот скрипт должен при определённых условиях выводить информационное сообщение для пользователя. Например, если пользователь превысил 90% своего месячного лимита на трафик.

Скрипт состоит из 163 строчек, вот его начало.

<script language="JavaScript" type="text/javascript">
// Comcast Cable Communications, LLC Proprietary. Copyright 2012.
// Intended use is to display browser notifications for critical and time sensitive alerts.
var SYS_URL='/e8f6b078-0f35-11de-85c5-efc5ef23aa1f/aupm/notify.do';
// var image_url='http://servicealerts.comcast.net:8080/images/mt';
var image_url='http://xfinity.comcast.net/BotAssistance/notice/ images';
var headertext1='<strong>Comcast Courtesy Notice</strong>';
var textline1='You have reached 90% of your <b>monthly data usage allowance</b>.';
var textline2='Please sign in for more information and to remove this alert.';
var acknowledgebutton='<a href=\"#\" onClick="document.location.href=\''+SYS_URL+'?dispatch=redirect&redirectName=login¶mName=bmUid\'" title="Sign in to acknowledge" style="color: #FFFFFF;" > <img alt="Sign in to acknowledge" src="https://xakep.ru/wp-content/uploads/post/60388/'+image_url+'/mt_signin.png"/></a>';
var verifybulletin='<a href="http://customer.comcast.com/help-and-support/internet/data-usage-plans-nash/" target="_new">How do I know this message is from Comcast?</a>';

Комментаторы на Github немедленно подвергли обструкции веб-разработчиков из компании Comcast за катастрофически низкое качество кода. Скрипт ужасен по нескольким причинам. Например, он осуществляет бесконечные AJAX-запросы на неправильный URL каждые 5000 миллисекунд при любой открытой веб-странице. Если отображается информационное сообщение для пользователя, то не предусмотрено способов его закрыть, но оно само закроется через пять секунд из-за неправильного AJAX-запроса. В этом случае один баг нивелируется другим багом. Скрипт тратит много времени на проверку наличия браузера Netscape Navigator 6, есть и другие несуразности.

В общем, разработчики считают крайне непрофессиональным внедрять такие скрипты в трафик, тем более что они забивают полосу бессмысленными AJAX-запросами.