Bestimmt!
Angreifer können bösartige Skripte verwenden, um mehrere Angriffe wie XSS auszuführen:
Cross-Site Scripting (XSS) ist eine Art von Sicherheitslücke in Bezug auf Computersicherheit, die normalerweise in Webanwendungen auftritt und es böswilligen Angreifern ermöglicht, clientseitige Skripte in Webseiten einzufügen, die von anderen Benutzern angezeigt werden.
Lesen Sie mehr in Wikipedia .
Kein Skript gibt Ihnen die Möglichkeit, alle Skripte auf einer Webseite (oder einer Website) und die darin verwendeten Plugins wie Flash, Java usw. zu steuern. Sie fügen einer Whitelist vertrauenswürdige Sites hinzu, und die anderen dürfen keine Skripte ausführen. es sei denn, Sie lassen sie (vorübergehend oder dauerhaft).
Eine Frage und ihre Antwort auf der No-Script-Website ( FAQ ) können einige Klarstellungen liefern:
Warum sollte ich die Ausführung von JavaScript, Java, Flash und Plugins nur für vertrauenswürdige Sites zulassen?
JavaScript, Java und Flash, auch wenn sie sehr unterschiedliche Technologien sind, haben eines gemeinsam: Sie werden auf Ihrem Computercode ausgeführt, der von einem Remote-Standort stammt. Alle drei implementieren eine Art Sandbox-Modell, wodurch die Aktivitäten eingeschränkt werden, die Remotecode ausführen kann: Beispielsweise sollte Sandbox-Code Ihre lokale Festplatte nicht lesen / schreiben oder mit dem zugrunde liegenden Betriebssystem oder externen Anwendungen interagieren. Selbst wenn die Sandboxen kugelsicher waren (nicht der Fall, siehe unten) und selbst wenn Sie oder Ihr Betriebssystem den gesamten Browser mit einer anderen Sandbox (z. B. IE7 + unter Vista oder Sandboxie) umhüllen, kann die bloße Möglichkeit, Sandbox-Code im Browser auszuführen für böswillige Zwecke ausgenutzt werden, z. B. um wichtige Informationen zu stehlen, die Sie im Internet speichern oder eingeben (Kreditkartennummern, E-Mail-Anmeldeinformationen usw.) oder um sich als Sie auszugeben, z Starten Sie bei gefälschten Finanztransaktionen "Cloud" -Angriffe wie Cross Site Scripting (XSS) oder CSRF, ohne dass Sie Ihrem Browser entkommen oder höhere Berechtigungen als bei einer normalen Webseite erwerben müssen. Dies allein ist Grund genug, Skripte nur auf vertrauenswürdigen Sites zuzulassen. Darüber hinaus zielen viele Sicherheits-Exploits darauf ab, eine "Eskalation von Berechtigungen" zu erreichen, dh einen Implementierungsfehler der Sandbox auszunutzen, um größere Berechtigungen zu erhalten und unangenehme Aufgaben wie die Installation von Trojanern, Rootkits und Keyloggern auszuführen. Diese Art von Angriff kann auch auf JavaScript, Java, Flash und andere Plugins abzielen: Dies allein ist Grund genug, Skripte nur auf vertrauenswürdigen Sites zuzulassen. Darüber hinaus zielen viele Sicherheits-Exploits darauf ab, eine "Eskalation von Berechtigungen" zu erreichen, dh einen Implementierungsfehler der Sandbox auszunutzen, um größere Berechtigungen zu erhalten und unangenehme Aufgaben wie die Installation von Trojanern, Rootkits und Keyloggern auszuführen. Diese Art von Angriff kann auch auf JavaScript, Java, Flash und andere Plugins abzielen: Dies allein ist Grund genug, Skripte nur auf vertrauenswürdigen Sites zuzulassen. Darüber hinaus zielen viele Sicherheits-Exploits darauf ab, eine "Eskalation von Berechtigungen" zu erreichen, dh einen Implementierungsfehler der Sandbox auszunutzen, um größere Berechtigungen zu erhalten und unangenehme Aufgaben wie die Installation von Trojanern, Rootkits und Keyloggern auszuführen. Diese Art von Angriff kann auch auf JavaScript, Java, Flash und andere Plugins abzielen:
JavaScript scheint ein sehr wertvolles Werkzeug für Bösewichte zu sein: Die meisten der bisher entdeckten Sicherheitslücken, die vom Browser ausgenutzt werden konnten, waren unwirksam, wenn JavaScript deaktiviert wurde. Vielleicht liegt der Grund darin, dass Skripte einfacher zu testen und nach Löchern zu suchen sind, selbst wenn Sie ein Neuling sind: Jeder und sein Bruder glauben, ein JavaScript-Programmierer zu sein: P.
Java hat eine bessere Historie, zumindest in seiner "Standard" -Inkarnation, der Sun JVM. Stattdessen wurden Viren für die Microsoft JVM geschrieben, wie beispielsweise der ByteVerifier.Trojan. Auf jeden Fall ermöglicht das Java-Sicherheitsmodell, dass signierte Applets (Applets, deren Integrität und Herkunft durch ein digitales Zertifikat garantiert wird) mit lokalen Berechtigungen ausgeführt werden, dh so, als wären sie regulär installierte Anwendungen. Dies, kombiniert mit der Tatsache, dass es immer Benutzer gibt, die vor einer Warnung wie "Dieses Applet ist mit einem fehlerhaften Zertifikat signiert. Sie möchten es NICHT ausführen! Sind Sie so verrückt, es stattdessen auszuführen?" Niemals!] [Nein] [Nein] [Vielleicht] ", wird suchen, finden und auf die Schaltfläche" Ja "klicken, was sogar Firefox einen schlechten Ruf einbrachte (beachten Sie, dass der Artikel ziemlich lahm ist, aber wie Sie sich vorstellen können, viel Echo hatte ).
Früher galt Flash als relativ sicher, doch seit seiner Verwendung wurden schwerwiegende Sicherheitslücken häufiger festgestellt. Flash-Applets wurden auch genutzt, um XSS-Angriffe auf die Websites zu starten, auf denen sie gehostet werden.>
Andere Plugins sind schwerer auszunutzen, da die meisten von ihnen keine virtuelle Maschine wie Java und Flash hosten, aber dennoch Lücken wie Pufferüberläufe aufdecken können, die beliebigen Code ausführen können, wenn sie mit einem speziell gestalteten Inhalt gespeist werden. Kürzlich haben wir einige dieser Plugin-Schwachstellen gesehen, die Acrobat Reader, Quicktime, RealPlayer und andere Multimedia-Helfer betreffen.
Bitte beachten Sie, dass keine der oben genannten Technologien normalerweise (in 95% der Fälle) von öffentlich bekannten und noch nicht gepatchten ausnutzbaren Problemen betroffen ist. Der Sinn von NoScript ist jedoch genau das: Verhindern der Ausnutzung selbst unbekannter Sicherheitslücken, denn wenn sie entdeckt werden es kann zu spät sein;) Der effektivste Weg ist das Deaktivieren der potenziellen Bedrohung auf nicht vertrauenswürdigen Websites.