Содержание статьи
Что такое CORSIDA?
Аббревиатура CORSIDA придумана мной и расшифровывается как Cross-Origin Resource Status Identification Attack. Суть CORSIDA заключается в идентификации статуса кросс-доменных ресурсов посредством злоупотребления манифестом AppCache: URL существует, редирект, ошибка.
CORSIDA схожа с CSRF. Выполняя CORSIDA, злодей стремится заполучить твою конфиденциальную информацию, косвенно хранящуюся в браузере. Для этого ему нужно, чтобы ты посетил его сайт, страницы которого слегка вредоносны. И когда я говорю «слегка», я имею в виду, что они практически безобидны. На них нет и намека на эксплоиты, которые могли бы помочь злоумышленнику заполучить контроль над твоим браузером. Но эти слегка зараженные страницы содержат вполне допустимые теги HTML и скрипты для инклудинга кросс-доменного контента. Идентифицировать злонамеренное поведение такого вредоносного сайта возможно, но очень сложно.
INFO
Атака CORSIDA построена на злоупотреблении механизмом CORS, который современные браузеры используют, чтобы дать веб-страницам возможность получать доступ к ресурсам другого домена.
Чем опасна CORSIDA
Злодей может использовать базовую версию CORSIDA, чтобы определить, сохранен ли в твоем браузере логин и пароль веб-приложения. Часто, когда ты заходишь на свою личную страницу, то или иное приложение делает условный редирект: если в браузере нет логина и пароля, то происходит редирект на страницу залогинивания, а если есть, то не происходит.
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Вариант 2. Открой один материал
Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя! Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.
Я уже участник «Xakep.ru»
