…And So Is The Threat ModelEarly br

…And So Is The Threat Model
Early browsers had several major and noteworthy vulnerabilities,
but they also had fewer types of attackers. The
early attackers tended to be motivated by curiosity or
scoring points with their peer groups. Modern browsers
must defend against increasingly well-organized criminals
who are looking for ways to turn browser vulnerabilities
into money. They are aggressive, methodical, and willing
to try a variety of attacks to see what works. Then there
are those who work in gray areas, not quite violating the
law but pushing the envelope as hard as possible to make
a few bucks.
With more aggressive threats come more aggressive
defenders. Security experts wanting to make names for
themselves can release vulnerability information about
browsers faster than browser developers may be prepared
to react. While the roots of this type of disclosure are
often driven by noble motives, the results can be devastating
if they are not handled properly by all parties.
The flip side of early disclosure is the zero-day exploit.
In this type of attack, an attacker learns of a flaw in a
browser and moves to exploit it and profit from it before
the security community has an opportunity to mount a
defense.
Injection attacks (sometimes known as XSS, or crosssite
scripting) are when an attacker embeds commands
or code in an otherwise legitimate Web request. This
might include embedded SQL commands; stack-smashing
attempts, in which data is crafted to exploit a programming
vulnerability in the command interpreter; and
HTML injection, in which a post by a user (such as a comment
in a blog) contains code intended to be executed by
a viewer of that post.
XSRF (cross-site reference forgery) is similar to XSS, but
it basically steals your cookie from another tab within
your browser. This is relatively new, since tabbed browsing
has become popular in only the past few years. It’s an
interesting demonstration of how a browser feature sometimes
amplifies old problems. One of the reasons Google
engineers implemented each tab in a separate process in
Chrome was to avoid XSRF attacks.
A similarly named but different attack is cross-site
request forgery, in which, for example, the victim loads
an HTML page that references an image whose src has
been replaced by a call to another Web site, perhaps one
where the victim has an account. Variations of this attack
include such things as mapping networks within the
victim’s enterprise for later use by another attack.

ผลลัพธ์ (ไทย) 1:

… คือรูปแบบการคุกคามเริ่มต้นเบราว์เซอร์มีหลายหลัก และอำนาจต่าง ๆแต่พวกเขายังมีน้อยกว่าชนิดโจมตี ที่ช่วงโจมตีมีแนวโน้มที่จะเป็นแรงจูงใจ ด้วยความอยากรู้ หรือให้คะแนนคะแนนกับเพียร์ของกลุ่ม เบราว์เซอร์ที่ทันสมัยต้องป้องกันอาชญากรมากขึ้นดีจัดที่กำลังมองหาวิธีการเปิดช่องโหว่ในเบราว์เซอร์หรือไม่เป็นเงิน ก้าวร้าว มีเหตุผล และเต็มใจลองความหลากหลายของการโจมตีเพื่อดูสิ่งที่ทำงาน แล้วมีคือผู้ที่ทำงานในพื้นที่สีเทา ไม่ละเมิดกฎหมายแต่การผลักดันซองเป็นยากให้ไม่กี่ bucksมีภัยคุกคามสูงขึ้นมาสูงขึ้นกองหลัง อยากให้ชื่อสำหรับผู้เชี่ยวชาญด้านความปลอดภัยตัวเองสามารถนำข้อมูลความเสี่ยงเกี่ยวกับอาจเตรียมเร็วกว่านักพัฒนาเบราว์เซอร์เบราว์เซอร์การตอบสนอง ขณะที่รากชนิดนี้เปิดเผยมักจะขับเคลื่อน โดยไม่สนคำครหาโนเบิล ผลลัพธ์สามารถทำลายล้างถ้าไม่จัดการอย่างถูกต้อง โดยทุกฝ่ายด้านพลิกเปิดเผยก่อนจะโกงเดย์แบบของการโจมตี โจมตีรู้ของข้อบกพร่องในการเบราว์เซอร์และย้ายไปใช้ประโยชน์ได้ และกำไรจากการใช้มาก่อนชุมชนปลอดภัยมีโอกาสที่จะกำหนดเป็นป้องกันโจมตีการฉีด (บางครั้งเรียกว่า XSS หรือ crosssiteมีสคริปต์) เมื่อโจมตีฝังคำสั่งหรือรหัสในการร้องขอเว็บอย่างถูกต้อง นี้อาจมีคำสั่ง SQL ที่ฝังตัว กองดีที่สุดความพยายาม ซึ่งเป็นสลักข้อมูลการใช้โปรแกรมช่องโหว่ในตัวแปลคำสั่ง และฉีด HTML การโพสต์ โดยผู้ใช้ (เช่นข้อคิดเห็นในบล็อก) ประกอบด้วยวัตถุประสงค์เพื่อดำเนินการโดยรหัสดูของที่ลงรายการบัญชีXSRF (อ้างอิงข้ามไซต์ปลอม) จะคล้ายกับ XSS แต่โดยทั่วไป steals คุกกี้จากแท็บอื่นภายในเบราว์เซอร์ของคุณ นี้นั้นค่อนข้างใหม่ เนื่องจากการเรียกดูแบบแท็บได้กลายเป็นนิยมในเพียงไม่กี่ปีที่ผ่านมา มันเป็นการสาธิตของวิธีเบราว์เซอร์คุณลักษณะบางที่น่าสนใจกำลังโคจรอยู่ซึ่งปัญหาเก่า หนึ่งในเหตุผลที่ Googleวิศวกรดำเนินการแต่ละแท็บในกระบวนการแยกโครเมี่ยมเพื่อ หลีกเลี่ยงการโจมตี XSRF ได้ชื่อทำนองเดียวกัน แต่แตกต่างกันการโจมตีเป็นแบบแฝงขอปลอม ที่ เช่น เหยื่อโหลดเพจ HTML ที่อ้างอิงภาพนายมีถูกแทนที่ โดยการเรียกไปยังเว็บไซต์อื่น บางทีหนึ่งที่เหยื่อมีบัญชี รูปแบบของการโจมตีนี้รวมสิ่งต่าง ๆ เช่นการแมปเครือข่ายภายในองค์กรของเหยื่อโดยโจมตีใช้

ผลลัพธ์ (ไทย) 2:

...
และเพื่อให้เป็นภัยคุกคามรุ่นเบราว์เซอร์ในช่วงต้นมีหลายช่องโหว่ที่สำคัญและน่าจดจำ
แต่พวกเขายังมีน้อยชนิดของการโจมตี
โจมตีต้นมีแนวโน้มที่จะได้รับการกระตุ้นด้วยความอยากรู้หรือคะแนนคะแนนกับกลุ่มเพื่อนของพวกเขา
เบราว์เซอร์ที่ทันสมัยจะต้องป้องกันอาชญากรมากขึ้นดีจัดที่กำลังมองหาวิธีการที่จะเปิดช่องโหว่เบราว์เซอร์เป็นเงิน พวกเขามีความก้าวร้าวระเบียบและเต็มใจที่จะลองหลากหลายของการโจมตีที่จะเห็นสิ่งที่ทำงาน จากนั้นก็มีผู้ที่ทำงานในพื้นที่สีเทาไม่มากละเมิดกฎหมายแต่ผลักดันซองจดหมายอย่างหนักเท่าที่เป็นไปได้ที่จะทำให้ไม่กี่ bucks. กับภัยคุกคามก้าวร้าวมากขึ้นมาก้าวร้าวมากขึ้นป้อมปราการ ผู้เชี่ยวชาญด้านความปลอดภัยที่ต้องการที่จะทำให้ชื่อของตัวเองสามารถปล่อยข้อมูลเกี่ยวกับช่องโหว่เบราว์เซอร์ได้เร็วกว่านักพัฒนาเบราว์เซอร์อาจจะมีการเตรียมที่จะตอบสนอง ในขณะที่รากของประเภทของการเปิดเผยข้อมูลนี้จะถูกขับเคลื่อนโดยมักจะแรงจูงใจที่สูงส่งผลที่สามารถทำลายล้างหากไม่ได้รับการจัดการอย่างถูกต้องโดยทุกฝ่าย. พลิกด้านของการเปิดเผยข้อมูลในช่วงต้นเป็น zero-day ใช้ประโยชน์. ในประเภทของการโจมตีครั้งนี้เป็น โจมตีเรียนรู้จากข้อบกพร่องในการเป็นเบราว์เซอร์และย้ายไปใช้ประโยชน์จากมันและกำไรจากมันก่อนที่ชุมชนการรักษาความปลอดภัยมีโอกาสที่จะติดหนึ่งการป้องกัน. โจมตีฉีด (บางครั้งเรียกว่า XSS หรือ crosssite สคริปต์) เมื่อผู้โจมตีฝังคำสั่งหรือรหัสขอเว็บถูกต้องตามกฎหมายอื่น ซึ่งอาจรวมถึงคำสั่ง SQL ที่ฝังตัว; สแต็คยอดเยี่ยมครั้งที่ข้อมูลจะถูกสร้างขึ้นมาเพื่อใช้ประโยชน์จากการเขียนโปรแกรมช่องโหว่ในการแปลคำสั่งนั้น และการฉีด HTML ซึ่งในโพสต์โดยผู้ใช้ (เช่นความคิดเห็นในบล็อก) มีรหัสที่ตั้งใจจะดำเนินการโดยผู้ชมของโพสต์ที่. XSRF (ปลอมอ้างอิงข้ามไซต์) คล้ายกับ XSS แต่มันเป็นพื้นขโมยคุกกี้ของคุณจากแท็บอื่นในเบราว์เซอร์ของคุณ นี้เป็นเรื่องค่อนข้างใหม่ตั้งแต่การท่องเว็บแบบแท็บได้กลายเป็นที่นิยมในเวลาเพียงไม่กี่ปีที่ผ่านมา มันแสดงให้เห็นถึงวิธีการที่น่าสนใจของคุณลักษณะเบราว์เซอร์บางครั้งขยายปัญหาเก่า หนึ่งในเหตุผลที่ Google วิศวกรดำเนินการแต่ละแท็บในกระบวนการแยกในChrome คือการหลีกเลี่ยงการโจมตี XSRF. คนหนึ่งชื่อเหมือนกัน แต่การโจมตีที่แตกต่างกันข้ามไซต์ปลอมแปลงคำขอซึ่งในตัวอย่างเช่นเหยื่อโหลดเพจHTML ที่อ้างอิงภาพ ซึ่ง src ได้ถูกแทนที่ด้วยการโทรไปยังเว็บไซต์อื่นอาจจะเป็นหนึ่งที่ตกเป็นเหยื่อมีบัญชีอยู่แล้ว รูปแบบของการโจมตีครั้งนี้รวมถึงสิ่งเช่นการทำแผนที่เครือข่ายภายในองค์กรของเหยื่อเพื่อใช้ในภายหลังจากการโจมตีอีก

ผลลัพธ์ (ไทย) 3:

. . . . . . . และเป็นการคุกคามแบบ
เร็วเบราว์เซอร์มีหลายสาขา และที่สำคัญจุดอ่อน
แต่พวกเขายังมีประเภทที่น้อยลงของผู้โจมตี
โจมตีเร็วมีแนวโน้มที่จะกระตุ้นความอยากรู้หรือ
คะแนนกับกลุ่มเพื่อนของพวกเขา เบราว์เซอร์สมัยใหม่จะต้องป้องกันมากขึ้น

ง่า อาชญากรที่กำลังมองหาวิธีที่จะเปิดเบราว์เซอร์ช่องโหว่
เป็นเงิน พวกเขาจะก้าวร้าวระเบียบและเต็มใจ
ลองความหลากหลายของการโจมตีเพื่อดูสิ่งที่ทำงาน แล้วมี
เป็นผู้ที่ทำงานในพื้นที่สีเทา ค่อนข้างไม่ละเมิด
กฎหมายแต่ผลักซองยากที่สุดที่จะทำให้ไม่กี่ bucks
.
กับก้าวร้าวมากขึ้นภัยคุกคามมาก้าวร้าว
มากกว่ากองหลัง ผู้เชี่ยวชาญด้านความปลอดภัย ที่ต้องการทำให้ชื่อสำหรับตัวเองสามารถปล่อยช่องโหว่ข้อมูล

เบราว์เซอร์ที่เร็วกว่านักพัฒนาเบราว์เซอร์อาจจะเตรียมไว้
โต้กลับ ในขณะที่รากของการเปิดเผยชนิดนี้มักจะขับเคลื่อนโดยแรงจูงใจ
โนเบิล , ผลลัพธ์ที่สามารถทำลายล้าง
หากไม่จัดการอย่างเหมาะสม โดยทุกฝ่าย .
พลิกก่อนการเปิดเผยข้อมูลเป็นศูนย์วันประโยชน์ .
ในการโจมตีประเภทนี้โจมตีได้เรียนรู้ข้อบกพร่องใน
เบราว์เซอร์และย้าย เพื่อประโยชน์และกำไรจากมันก่อน
ชุมชนการรักษาความปลอดภัยมีโอกาสที่จะติด

ฉีดป้องกันการโจมตี ( บางครั้งเรียกว่า xss หรือ crosssite
สคริปต์ ) เมื่อโจมตีฝังคำสั่ง
หรือรหัสในการร้องขอเว็บอื่นที่ถูกต้องตามกฎหมาย นี้อาจรวมถึงคำสั่ง SQL ที่ฝังตัวอยู่

; กองดีพยายาม ซึ่งเป็นข้อมูลที่สร้างขึ้นเพื่อใช้ประโยชน์จากช่องโหว่ในโปรแกรม

สั่งล่าม และฉีด HTML ,ที่โพสต์โดยผู้ใช้ ( เช่นความคิดเห็น
ในบล็อก ) ประกอบด้วยรหัสตั้งใจที่จะดำเนินการโดย
ตัวแสดงว่าโพสต์ .
xsrf ( ข้ามอ้างอิงการปลอมแปลง ) จะคล้ายกับ xss แต่
มันขโมยคุกกี้ของคุณจากภายในแท็บอื่น
เบราว์เซอร์ของคุณ นี้ค่อนข้างใหม่ เนื่องจากการเรียกดูแท็บ
ได้กลายเป็นที่นิยมในเวลาเพียงไม่กี่ปี ที่ผ่านมา มันเป็น
การสาธิตที่น่าสนใจว่าคุณลักษณะเบราว์เซอร์บางครั้ง
ขยายปัญหาเก่า หนึ่งในเหตุผลที่วิศวกรของ Google
ดำเนินการแต่ละแท็บในกระบวนการที่แยกต่างหากใน Chrome เพื่อหลีกเลี่ยงการโจมตี xsrf
.
เป็นชื่อเดียวกันแต่แตกต่างกันการโจมตีข้ามเว็บไซต์
ขอปลอม ซึ่ง ตัวอย่างเช่น ผู้เคราะห์ร้ายโหลด
เพจ HTML ที่อ้างอิงภาพที่ src มี
ถูกแทนที่โดยโทรไปที่เว็บไซต์อื่น บางทีหนึ่ง
ที่เหยื่อมีบัญชี รูปแบบของการโจมตี
รวมสิ่งต่างๆเช่นเครือข่ายการทำแผนที่ภายใน
เหยื่อองค์กรสำหรับใช้ในภายหลังโดยการโจมตีอีก