Biztonsági szakértők módot találtak rá, hogy JavaScript segítségével feltérképezzenek egy otthoni vagy céges hálózatot, és támadást indítsanak a rajta található eszközök ellen, mint pl. egy nyomtató vagy router.

A káros JavaScript kód beágyazható egy weblapba, és anélkül fut le az oldalt megtekintő PC-n, hogy bárminemű figyelmeztetést kapnánk, vagy a céges tűzfal meggátolná a lap letöltését.

„Egy olyan technikát fedeztünk fel, melynek segítségével átkutathatjuk a helyi hálózatot web alapú eszközök után kutatva és parancsokat küldhetünk, vagy akár támadást is indíthatunk ellenük” - mondta Billy Hoffman, a webes biztonsággal foglalkozó SPI Dynamics vezető kutatója.

Egy sikeres támadásnak jelentős hatása lehet. A szkript megkeresheti egy otthoni hálózat ADSL routerét, és olyan parancsokat küldhet neki, mellyel engedélyezi a vezeték nélküli kapcsolatokat, és akár ki is kapcsolhatja a titkosítást. Vállalati környezetben feltérképezheti a helyi szervereket, majd támadást indíthat ellenük, mely látszólag (és ténylegesen is) a belső hálózatból érkezik.

„A böngésző segítségével belső hálózatok törhetők fel” - közölte Jeremiah Grossman a WhiteHat Security cég vezető technikusa. A két cég (WhiteHat Security, SPI Dynamics) nagyjából egy időben jelentette be a technikát, és mindketten előadást fognak tartani ezzel kapcsolatban a jövő héten Las Vegasban megrendezendő Black Hat biztonságtechnikai konferencián.

JavaScript, AJAX és a web
A JavaScript technológia már közel egy évtizede jelen van a webes világban, segítségével felhasználóbarátabb weboldalak készíthetők. Az utóbbi években kezdett el terjedni az AJAX-nak nevezett programozási technika, mellyel igen komoly interakciós képességekkel ruházhatók fel az oldalak – nem véletlenül tartják a Web 2 egyik alappillérének.

Az új technológiákkal – mint azt már megszokhattuk – újfajta biztonsági fenyegetések is megjelentek, a szakemberek azonban nem szenteltek túl nagy figyelmet a problémának, marginális kérdésnek tartották.

Ez most megváltozhat, hiszen az újonnan felfedezett támadási módszer mind a hackerek, mind a biztonságtechnikai szakemberek figyelmét felkeltette, és minden bizonnyal alapos felülvizsgálatnak fogják alávetni a JavaScriptet.

Az SPI Dynamics által felfedezett sebezhetőség akár még évekig kihasználható marad, hiszen nehéz úgy orvosolni a hibát, hogy a jelenleg használt webes alkalmazások működőképesek maradjanak. A sebezhetőség egy igen hatékony fegyvert ad a hackerek kezébe, hiszen a helyi hálózaton lévő nyomtatók, routerek, IP telefonok és egyéb webes felülettel rendelkező eszközök mindegyike támadhatóvá válik, ezért is lenne fontos a mielőbbi javítás. A veszély több, mint valós, hiszen napjainkban szinte már mindenbe építenek webszervert, hogy ezzel könnyítsék meg a konfigurálást és a telepítést.

A támadás
A JavaScript scanner működése dióhéjban: a felhasználónak először el kell látogatnia egy olyan weblapra, mely tartalmazza a rosszindulatú kódot – ez lehet magának a támadónak az oldala, azonban XSS-sebezhetőség kihasználásával akár ártalmatlannak tűnő weblapokon is felbukkanhat a kód. (Az XSS egy szintén tipikusan webes hiba, mely már olyan nagy cégeknek, mind a Google, Microsoft vagy az eBay is okozott komoly gondokat.)

Ezek után a felhasználó saját böngészője kezdi el vizsgálgatni a helyi hálózat eszközeit, a támadó megállapíthatja a futtatott operációs rendszerek típusát, és akár egy DSL routerbe is betörhet. Ez azt jelenti, hogy a hacker gyakorlatilag átveszi a teljes irányítást a böngésző felett. Grossman a Black Hat konferencián élőben be is kívánja mutatni az eljárást.

Sajnos egy mezei PC felhasználó nem sokat tehet a védekezés terén, a hiba javításáig csak a különféle antivírus és egyéb védelmi szoftverekben bízhatunk, melyek észreveszik, ha kártékony JavaScript kódot próbál futtatni a böngészőnk. A szerverek üzemeltetőinek mindent el kell követniük az XSS-hibák kiküszöbölése érdekében, hogy ezzel is csökkentsék a veszélyt.

Grossman szerint a JavaScript-alapú támadások egyelőre még gyerekcipőben járnak, a technológia kihasználása igen komoly szaktudást igényel, és még a hackerek sem nagyon tudják, hogy mihez is kezdhetnének vele. „Nagyjából az első e-mailes vírus megjelenéséhez hasonlítanám a helyzetet – a veszély valós, a jövőben valószínűleg egyre több támadást fogunk látni, az elterjedéshez azonban időre van szükség.”