Màj NoScript..."XSS Sniper"

[horus agressor]

Bonjour,

 

Màj NoScript pour Firefox 2.0 : V. 1.1.4.9.070623 "The XSS Punisher"

 

http://noscript.net/

 

Anti-XSS protection

 

Cross-Site Scripting (XSS) vulnerabilities are usually programming errors made by web developers, which allow an attacker to inject his own malicious code from a certain site into a different site. They can be used, for instance, to steal your authentication credentials and, more in general, to impersonate you on the victim site (e.g. your online banking or your web mail).

 

This kind of vulnerability, often overlooked, is very widespread and becoming highly popular among hackers: someone even bothered to write a JavaScript-based bot, called Jikto, turning your browser into a zombie which relentlessly sends automated XSS attacks all around. Of course this tool has been built "for research purpose", but its code unfortunately appears to be leaked in the wild, so anybody can take advantage of it, now...

...

Whenever a non-trusted site tries to inject JavaScript code inside a trusted (whitelisted and JavaScript enabled) site, NoScript filters the malicious request neutralizing its dangerous load.

http://noscript.net/features#xss

(traduction AltaVista, améliorée par mes soins)

Les vulnérabilités de Cross-Site Scripting (XSS) sont habituellement des erreurs de programmation faites par les réalisateurs de site, qui permettent à un attaquant d'injecter son propre code malveillant d'un certain site dans un site différent. Elles peuvent être employées, par exemple, pour voler vos données d'authentification et, plus en général, pour vous personnifier sur l'emplacement de victime (par exemple vos opérations bancaires en ligne ou votre courrier mail).

 

Ce genre de vulnérabilité, souvent négligé, est très répandu et devenant fortement populaire parmi les hacker : quelqu'un même pris la peine pour écrire un BOT Javascript-basé, appelé Jikto, transformant votre navigateur en PC zombie qui lance ensuite de lui-même des attaques XSS automatisé. Naturellement cet outil a été construit "pour le but de recherches", mais son code semble malheureusement s'être perdu dans la nature, ainsi quiconque peut tirer profit de lui, maintenant...

...

Chaque fois qu'un site de "non-confiance" essaye d'injecter le code de Javascript à l'intérieur (liste blanche et Javascript activés) d'un site de confiance, NoScript filtre la demande malveillante neutralisant la tentative d'injection.

...

http://www.babelfish.altavista.com/tr

Amicalement.

[Vercingétorix II]

Salut,

Oui, un indispensable ce NoScript pour Firefox

horus.

A+

[horus agressor]

horus.

Salut Vercingétorix II !

 

Va demander à Pirlouy sur Geckzone ce qu'il pense de NoScript, il te dira que, pour un débutant, NoScript peut être "plus dangereux qu'un spyware" (?? J'ai recherché le post ou il me semble que Pirlouy avait écrit cela, presque une heure de recherche sans rien retrouver, je suis persuadé d'avoir lu cela, mais j'en douterais presque maintenant ) ... Dommage que sur Geck il ne semble guère apprécier la sécurité, j'ai eu droit à quelques bonnes branlées, mais, t'inquiète, je ne me soumets pas Dommage pour un site entièrement dédié aux produits de la fondation Mozilla !

 

Amicalement.

Modifié le 25 juin 2007 par horus agressor

[Falkra]

Dommage, je trouve aussi NoScript très utile, et elle est installé depuis un moment sur mon Firefox de service.

Un débutant sachant lire un mini tuto saura l'utiliser et piger son fonctionnement en 2 minutes, ce n'est pas sorcier, par défaut on bloque tout au début. Reste à autoriser les sites de confiance (ou qui ont besoin du javascript, et c'est là qu'est le problème en fait, il ne faut pas finir par tout autoriser), et utiliser l'autorisation temporaire pour des consultations ponctuelles.

 

Pour les youtube et autres sites à flash, javascript est utilisé pour détecter la version du plugin flash. Aussi agaçant qu'un spyware...

[oGu]

Va demander à Pirlouy sur Geckzone ce qu'il pense de NoScript, il te dira que, pour un débutant, NoScript peut être "plus dangereux qu'un spyware" (dixit) .

 

 

Noooon!!

 

Mets le lien vers son post STP!

 

Merci Horus!

[horus agressor]

Noooon!!

 

Mets le lien vers son post STP!

Salut Ogu !

 

J'ai rectifié mon post précédent en y rajoutant : (?? J'ai recherché le post où il me semble que Pirlouy avait écrit cela, presque une heure de recherche sans rien retrouver, je suis persuadé d'avoir lu cela, mais j'en douterais presque maintenant )...

 

Sinon, il y cela à te mettre sous la dent. Excellent de voir Pirlouy lutter seul contre presque tous les modo(e)s de Geck :

 

NoScript, réservé aux paranoïaques ? http://www.geckozone.org/forum/viewtopic.php?t=52751 par Pirlouy qui essaie de casser la baraque NoScript...

et

NoScript c'est bien mais... http://www.geckozone.org/forum/viewtopic.php?t=36398 , entre autre...

 

Amicalement.

Modifié le 25 juin 2007 par horus agressor

[Vercingétorix II]

Salut horus,

Intéressant tes liens

Je ne change pas d'avis concernant NoScript. Son utilisation n'est quand même pas si compliquée.

Amicalement.

[horus agressor]

...Je ne change pas d'avis concernant NoScript. Son utilisation n'est quand même pas si compliquée...

Salut Sage Gaulois !

 

Demande à Pirlouy sur Geck si tu veux en savoir plus sur NoScript !

 

Amicalement.

[horus agressor]

Bonjour !

 

Nouvelle màj de NoScript, "Merry XssMas" :

 

( http://noscript.net/ )

 

Celle-ci sont assez fréquentes et le temps de réaction est excellent par rapport à l'évolution des vulnérabilités sous Firefox.

 

Extension indispensable à mon avis !

 

Pensez à faire Outils, Modules Complémentaires, Recherche de Mises à Jour et relancer Firefox une fois les màj effectuées ! Utiles pour mettre à jour toutes vos extensions.

 

Voir aussi, dans les Options de NoScript (clique-droit sur l'icône en bas à droite de Firefox), l'onglet Greffons :

 

 

Sacles en parlait dans un de ses post récents

 

Amicalement et Joyeux Noël !

Modifié le 25 décembre 2007 par horus agressor

[ouss]

bonjour,

mise a jour V. 1.2.6 "Gentler Yet Stronger"