Max Home IndustryНесмотря на то, что JavaScript живет в защищенной и изолированной среде браузера, таким образом, ограничивая то, что он может или не может делать на машине пользователя, все же возможно, просто невинно просматривая веб-страницы, обойти эти ограничения после заражения ‘drive-by скачать ‘вредоносное ПО.
Изолированная среда означает, что JavaScript, выполняемый в браузере, может выполнять только действия, связанные с Интернетом, но не действия, такие как чтение папки «Мои документы», поскольку ему не разрешен доступ к файловой системе или любым другим процессам.
Второе наложенное ограничение на сценарии JavaScript, выполняемые в браузере пользователя, — это политика одного и того же происхождения, которая запрещает сторонним веб-сайтам получать информацию, принадлежащую другому сайту, такую как сеансы и файлы cookie, активные при входе на веб-сайт вашего финансового учреждения.
Однако обе эти контрмеры можно обойти, доставив вредоносный код JavaScript через браузер. Этот код также попадает под те же ограничения, налагаемые моделью безопасности JavaScript, но разница в том, что они могут использовать уязвимости и ошибки в браузере конечного пользователя или в сторонних плагинах, загруженных в браузер пользователя.
Это также причина того, что все основные браузеры перестали рекомендовать все плагины сторонних производителей, поскольку «старые плагины увеличивают риск атаки вредоносных программ, вирусов и других угроз безопасности», наиболее печально известными случаями являются плагины Adobe Flash и Java, поскольку Google и Mozilla закрывают глаза на детали Adobe Flash
Программа Drive by downloads должна загрузить двоичный файл на компьютер пользователя, либо обманом заставив пользователя загрузить его, либо без вмешательства пользователя. Как правило, это происходит при простом посещении «плохой» ссылки (следовательно, при переходе по ссылке) или при перенаправлении с легитимного веб-сайта на вредоносный за счет использования уязвимостей, чаще всего межсайтовых сценариев (XSS), скрытых в код легитимного сайта.