этом - Xakep Online

58 ÎØÈÁÊÈ ÌÎËÎÄÎÑÒÈ ÑÏÅÖ 02-07øàìàíñêèå äåëàÐåêëàìà ñ ïîäâîõîìÌÍÎÃÈÅ ÂÅÁ-ÌÀÑÒÅÐÀ ÇÀÄÓÌÛÂÀËÈÑÜ Î ÇÀÐÀÁÎÒÊÅ ÇÀ Ñ×ÅÒ ÐÀÇÌÅÙÅÍÈß ÐÅÊËÀÌÛÍÀ ÑÂÎÈÕ ÑÀÉÒÀÕ. ÏÎÄÎÁÍÛÅ ÑÅÐÂÈÑÛ ÑÓÙÅÑÒÂÓÞÒ Â ÐÓÍÅÒÅ È ÈÕ ×ÈÑËÎ ÏÎÑÒÎßÍÍÎÐÀÑÒÅÒ. ÍÎ Â ÈÍÒÅÐÍÅÒ-ÐÅÊËÀÌÅ ÅÑÒÜ ÑÂÎÈ ÏÎÄÂÎÄÍÛÅ ÊÀÌÍÈ.Åâãåíèé Äîêóêèí aka Mustlivemustlive@websecurity.com.uaÐå÷ü èäåò î ðåêëàìíûõ èíòåðíåò-áðîêåðàõ. Ýòî îäíàèç íàèáîëåå äèíàìè÷íûõ êàòåãîðèé â ðåêëàìíîìñåêòîðå ðóíåòà (ïîìèìî áàííåðíûõ ñåòåé, ðåêëàìíûõàãåíòñòâ è ÷àñòíûõ ðåêëàìíûõ ïîïîëçíîâåíèé).Ñðåäè ôîðìàòîâ, ïîääåðæèâàåìûõ ðåêëàìíûìèáðîêåðàìè, ìîæíî âûäåëèòü áàííåðíóþ ðåêëàìó(ðàçëè÷íûõ ðàçìåðîâ, îáû÷íî ôîðìàòîâ gif è jpg),ôëåø-ðåêëàìó (ôîðìàò swf) è òåêñòîâóþ (â òîì ÷èñëåè êîíòåêñòíóþ). Îïëàòà, ñîîòâåòñòâåííî, çà êëèêè,ïîêàçû è çà âðåìÿ ðàçìåùåíèÿ. Êàæäûé áðîêåðèìååò ñâîè îñîáåííîñòè è ñâîè ïëþñû, ïðåäëàãàÿðàçëè÷íûå óñëóãè äëÿ âåá-ìàñòåðîâ è ðåêëàìîäàòåëåé.×åðåç áðîêåðîâ èíòåðíåò-ðåêëàìû åæåäíåâíîïðîõîäÿò äåíåæíûå ïîòîêè, è ýòî ìîãóò áûòüâåñüìà ñîëèäíûå ñóììû.Ïîäîáíàÿ ñèòóàöèÿ ïðèâëåêàåò ê ðåêëàìíûìáðîêåðàì âíèìàíèå â òîì ÷èñëå è çëîóìûøëåííèêîâ.Ïðîàíàëèçèðóåì ñèòóàöèþ íà ðûíêå ðåêëàìíûõèíòåðíåò-áðîêåðîâ ðóíåòà.  êîíòåêñòå áåçîïàñíîñòèè, â ÷àñòíîñòè, Cross-Site Scripting óÿçâèìîñòåé.XSS-óÿçâèìîñòè ìîãóò áûòü èñïîëüçîâàíûñ öåëüþ çàõâàòà ó÷åòíîé çàïèñè ïîëüçîâàòåëÿ, äëÿïîëó÷åíèÿ êîíôèäåíöèàëüíîé èíôîðìàöèè è äåíåã,íàêîïëåííûõ íà ïîëüçîâàòåëüñêîì àêêàóíòå.Íèæå ìû ïðèâåäåì ïðèìåðû íåêîòîðûõ áðîêåðîâ,íà ñàéòàõ êîòîðûõ èìåëè ìåñòî óÿçâèìîñòè(äàííûé ñïèñîê íå ïîëîí, è íå ñòîèò ñ÷èòàòü, ÷òî óäðóãèõ èíòåðíåò-áðîêåðîâ òàêèõ ïðîáëåì íå áûâàåò).Âñå ïðèâåäåííûå ïðèìåðû, èñõîäÿ èç çäðàâîãîñìûñëà è ýòè÷åñêèõ ñîîáðàæåíèé, ñîäåðæàòÐÅÊËÀÌÍÛÅ ÈÍÒÅÐÍÅÒ-ÁÐÎÊÅÐÛ ÏÐÅÄÑÒÀÂËßÞÒ ËÀÊÎÌÛÉ ÊÓÑÎÊÄËß ÇËÎÓÌÛØËÅÍÍÈÊÎÂ, ÏÎÒÎÌÓ ×ÒÎ ×ÅÐÅÇ ÍÈÕ ÏÐÎÊÀ×ÈÂÀÞÒÑßÄÎÑÒÀÒÎ×ÍÎ ÌÎÙÍÛÅ ÄÅÍÅÆÍÛÅ ÏÎÒÎÊÈXSS-óÿçâèìîñòè, î êîòîðûõ ñàìè èíòåðíåò-áðîêåðûçíàþò è êîòîðûå óæå èñïðàâëåíû. Ýòî ñäåëàíîâ öåëÿõ áåçîïàñíîñòè ñàìèõ áðîêåðîâ è èõ ó÷àñòíèêîâ.Òàêæå ñëåäóåò ïîíèìàòü, ÷òî ìû ðàòóåì çà áåçîïàñíîñòüè íàäååìñÿ, ÷òî ïðèìåðû ïîìîãóò âñåìîñîçíàòü ñåðüåçíîñòü ñèòóàöèè è ïðîâåðèòüñîáñòâåííûå ïðîåêòû íà àíàëîãè÷íûå óÿçâèìîñòè.Èñïîëüçîâàíèå æå ïðèìåðîâ XSS-óÿçâèìîñòåéãäå áû òî íè áûëî — íà ñîâåñòè (à, ñëåäîâàòåëüíî,è îòâåòñòâåííîñòè) ÷èòàòåëÿ.www.clx.ru. XSS-óÿçâèìîñòè èìåëè ìåñòî, íîàäìèíèñòðàòîðû ñäåëàëè îñíîâíîé óïîð íà ñîâåðøåíñòâîâàíèèñèñòåìû àâòîðèçàöèè, ââåäÿ äîïîëíèòåëüíîåîãðàíè÷åíèå âðåìåíè ñåññèè è ïðèâÿçêóñåññèè ê IP-àäðåñó. Ýòî ïîçâîëèëî ïîâûñèòüáåçîïàñíîñòü ñèñòåìû â öåëîì, ÷àñòè÷íî îãðàäèâåå îò ïîòåíöèàëüíûõ XSS. Íî 100% çàùèòû òàêîéïîäõîä íå äàåò, è ïåðèîäè÷åñêè ïðèõîäèòñÿ îòëàâëèâàòüè èñïðàâëÿòü íàéäåííûå óÿçâèìîñòè.www.prospero.ru, www.procontext.ru, www.seopoint.ru.Âñå òðè ïðîåêòà ïðèíàäëåæàò îäíèì è òåì