کلیک کنید: خرید VPN خرید وی پی ان خرید فیلتر شکن خرید فیلترشکن
خرید کریو خرید وی پی ان خرید VPN خرید فیلترشکن
من درک می کنم که SOP XSS را به خودی خود مانع نمی کند، مثلا: اگر کسی یک اسکریپت مثل هشدار ("bla-bla") را تزریق کند، آن هم اعدام خواهد شد.
اما من می خواهم تأیید کنم اگر SOP به درستی پیکربندی شده باشد (Access-Control-Allow-Origin تنها یک لیست از دامنه های قابل اعتماد است)، پس از آن یک مهاجم قادر نخواهد بود به ارسال کند [بااستفادهازAJAX بازیابی شده توسط اجرای اسکریپت XSS؟ معنی این که SOP به طور صحیح پیکربندی شده امکان کاهش XSS را دارد؟
آیا درست است؟
با تشکر از شما
هر بار یک نسخه جدید از خاموشی ها منتشر می شود، توصیه می شود که بلافاصله آن را به دلیل آسیب پذیری های شناخته شده با آخرین نسخه دانلود و نصب کنید.
از آنجا که هیچ رله به جز رله متوسط می داند که مبدا ترافیک و از آنجا که اسکن با استفاده از چیزی مانند nmap در سیستم مشتری نمایش داده نمی شود، چگونه یک مهاجم می داند چه نسخه ای از tor یا خامهای شما استفاده می کند و از این رو چه چیزی سوءاستفاده می کند؟
اگر تفاوت بین این دو وجود داشته باشد، لطفا آن را در پاسخ بگنجانید.
هنگامی که سخت افزار سیستم لینوکس سخت تر می شود، چه ابزار خط فرمان برای اولین بار از زندگی خود برای از بین بردن مهاجمین دشوار می شود؟
مسیر در نمایه bash تعریف شده است به طوری که ~ / bin آخرین بار می شود، بنابراین در حال اجرا "فایرفاکس" باید فایرفاکس پیش فرض را اجرا کند و نه سفارشی "فایرفاکس" که توسط کاربر در دایرکتوری خانگی نصب شده است.
متغیرها را می توان نوشت در زمان اجرا میانبرهای روی دسکتاپ و در منوها میتوانند رونویسی شوند. نام مستعار را می توان تعریف کرد. دستور کار محیط دسکتاپ را برای شروع کد خود هر بار که شروع می شود … همانطور که جنگل می نویسد؛ تعداد زیادی از آنها برای لیست همه آنها وجود دارد. حساب کاربری خود را به خطر بیافتد!
.bashrc، .profile، .bash_profile، .bash_logout، و غیره (همه این نوع فایلها) فقط توسط ریشه قابل نوشتن هستند، بنابراین کاربر باید از sudo برای ویرایش آنها استفاده کند.
Let من چیزی به شما نشان می دهم:
[/tmp/foo] نوار لمسی $
[/tmp/foo] $ sudo chown ریشه نوار
[/tmp/foo] $ ls -la
کل 24
drwxr-xr-x 2 کاربران vidarlo 4096 17 ژوئن 14:13.
drwxrwxrwt 131 ریشه ریشه 20480 17 ژوئن 14:13 ..
-rw-r - r-- 1 کاربران ریشه 0 17 ژوئن 14:13 bar
[/tmp/foo] $ chmod 777 bar
chmod: تغییر مجوز "bar": عملیات مجاز نیست
[/tmp/foo] $ rm bar
rm: پاک کردن فایل ضمیمه شده به طور منظم از نوار "نوار" حذف؟ ی
[/tmp/foo] $
تا زمانی که شما مجوز نوشتن برای دایرکتوری (که تقریبا برای ~ نیاز دارید)، می توانید فایل هایی را که مالک نیستید حذف کنید. حمله کننده می تواند به طور موثر بازیابی فایل ها را cat.bashrc> / tmp / foo && rm -f. bashrc && cat / tmp / foo> .bashrc انجام دهد.
علاوه بر این حملات تشدید دسترسی محلی بر روی یک راه حل دسک تاپ دقیقا از بین نرفته است.
راه هایی برای محافظت در برابر چنین سناریویی با استفاده از رمزگذاری وجود دارد. سطوح مختلفی وجود دارد.
اولین داده اولیه در رمزگذاری استراحت است. این مانع از اینکه افراد بتوانند HDD را بکشند و اطلاعات را از آن بخوانند یا فایلهای داده را از سرور بکشاند. شما همچنین می توانید بسیاری از ضمانت ها را برای محدود کردن تعداد افرادی که می توانند به طور قابل ملاحظه ای دسترسی داشته باشند، استفاده می کنند. اما با توجه به امتیازات مناسب و یا حملات فیزیکی پیشرفته، می توانید از طریق آن، از آنجا که در پایان روز، سرور نیاز به دسترسی به آن ایمیل ها دارد تا آنها را برای شما نشان دهد.
سطح دوم، پایان دادن به پایان است E2E) رمزگذاری. این به این معنی است که کاربر قبل از فرستادن آن به سرور رمزگذاری می کند و کاربر دریافت کننده آن را با استفاده از کلیدی خودش رمزگشایی می کند. هیچ راهی وجود ندارد که مدیر بتواند پیام (بدون شکستن سیستم / گرفتن کلید) را بخواند، همانطور که کاربر آنرا رمزنگاری کرده است. جیمیل و اکثر سرویس های اصلی از رمزگذاری E2E استفاده نمی کنند. برخی از خدمات مانند پروتونمال، سیگنال، واتساپ و دیگران از رمزگذاری E2E استفاده می کنند، اما بیشتر از یک چیز معمولی نادر است.
اگر میخواهید رمزگذاری E2E را برای سرور خود بکار ببرید، ممکن است دشوار باشد. درحالیکه در حوزه پیام فوری، پروتکل سیگنال تبدیل به استاندارد می شود، راه حلی استاندارد برای راه اندازی آن در مناطق دیگر وجود ندارد، بنابراین ممکن است مجبور شوید سیستم خود را توسعه دهید.
پاسخ به EDIT: اگر بر روی ارسال اصرار دارید رمز عبور از طریق ایمیل، از هیچ اما راه های دیگری برای بهبودی وجود دارد. شما می توانید کلید اصلی را به کاربر برای پشتیبان گیری آن بدهید. شما می توانید کلید اصلی را به 5 قسمت تقسیم کنید و نیاز به جمع آوری آن 3، سپس این قسمت ها را به 5 دوستان مورد اعتماد از کاربر و غیره توزیع کنید. موضوع مشترک در اینجا است، سرور را نباید با بازیابی مورد اعتماد قرار داد، شخص دیگری باید باشد. یا شما می توانید اجازه دهید که گذرواژه را در هزینه های از دست دادن داده ها بازنشانی کنند، این همان چیزی است که Protonmail انجام می دهد. شما آدرس ایمیل خود را بازیابی می کنید، اما ایمیل های موجود در صندوق پستی شما نیست.
