Ci sono pochi di noi nella vita che vogliono davvero scavare nei dettagli nitidi e grintosi di come funzionano le cose - per visitare il proverbiale "fabbrica di salsicce" che produce il nostro cibo preferito, assembla le nostre auto o mette gadget economici sugli scaffali di Best Buy e Bersaglio.
Lo stesso vale sul web. Negli ultimi due anni, siamo rimasti tutti sbalorditi dalle nuove applicazioni basate sul Web come Google Maps e il Web tecniche di sviluppo applicativo come AJAX (Asynchronous Javascript e XML) che le rendono possibili. Quanti di noi vogliono davvero pensare alle possibili vulnerabilità introdotte da nuovi fantastici strumenti come AJAX mentre fanno tutta quella magia dietro le quinte?
Ma un nuovo worm di posta elettronica Javascript potrebbe essere un segno che la nostra storia d'amore con quello che è stato soprannominato "Web 2.0" e gli strumenti come AJAX che lo rendono possibile potrebbe finire bruscamente.
Yamanner è apparso per la prima volta il 12 giugno e prende di mira gli utenti del programma di posta elettronica basato su Yahoo. Sfrutta un buco di scripting tra siti precedentemente sconosciuto e utilizza AJAX per fare irruzione nei contatti di Yahoo Mail di una vittima. L'aspetto del worm è la prova che gli scrittori di codice dannoso utilizzano AJAX e altre tecniche di sviluppo Web dinamico per creare attacchi furtivi basati sul Web, ha affermato Billy Hoffman, capo ricerca e ingegnere di sviluppo presso SPI Dynamics, una sicurezza delle applicazioni Web azienda.
L'autore o gli autori di Yamanner hanno capito come allegare Javascript dannoso a un tag immagine HTML standard in un modo che ingannasse i filtri di codice dannoso di Yahoo. Una volta che un messaggio Yamanner è stato aperto e l'immagine ha terminato il caricamento, il codice dannoso è stato eseguito e AJAX è stato utilizzato per farlo riconnettersi silenziosamente al server Web di Yahoo e inviare copie del virus tramite l'account della vittima, Hoffman disse.
Nell'ottobre 2005, un worm basato su Javascript chiamato Spacehero è circolato ampiamente sulla rete MySpace e ha utilizzato AJAX per aggiungere l'autore del worm, "Samy", all'elenco degli "amici" di milioni di utenti di MySpace. Yamanner è una variazione sullo stesso tema e la prima prova di una minaccia AJAX che colpisce uno dei "tre grandi" fornitori di Webmail, ha affermato Hoffman.
Il worm dovrebbe essere un campanello d'allarme per sviluppatori di software e webmaster che più exploit Java e AJAX faranno sta arrivando, secondo un post sul blog di Michael Haisley, un gestore di incidenti per SANS Internet Storm Centro.
Gli sviluppatori Web devono prestare molta attenzione alla convalida dell'input e prendere più seriamente i rapporti sui buchi di scripting tra siti, ha affermato Hoffman. Le aziende innamorate delle applicazioni Web "gee-whiz" di Google dovrebbero anche pensare attentamente e pianificare prima di portare le applicazioni aziendali sul Web, ha affermato.
"Quando si spinge la logica aziendale sul lato client, si consente agli aggressori di vedere tipi di dati e intervalli di input che gli hacker normalmente avrebbero bisogno di un complicato disassemblatore per vedere", ha affermato Hoffman.