Web 2.0应用存在缺陷 Javascript导致泄密

 

Fortify软件公司的研究人员已经发现了他们称之为专门影响Web 2.0和AJAX应用软件的第一个缺陷。

据crn网站报道称，Fortify的首席科学家布赖恩说，过去，开发人员利用Javascript完成图像旋转和Web表单等简单功能，但在Web 2.0世界中，Javascript则越来越多地被用来传输数据，这就为安全问题打开了一道门。

据布赖恩称，在Fortify称之为“Javascript劫持”的一个安全缺陷中，黑客可以诱惑用户访问一个恶意网站，通过浏览器窃取机密数据，因为当被用来传输数据时，服务器不会对Javascript提供充分的安全保护。布赖恩说，用户会泄露存储在网站上的自己的资料，其中包括机密的银行资料。

Fortify的研究人员测试了十多种Web 2.0框架，发现它们全都容易受到“Javascript劫持”的影响。布赖恩说，所有的Web 2.0应用软件都存在缺陷，其中包括来自Google、微软、开放源代码界的AJAX框架。

布赖恩表示，但是，传统的Web应用软件不会受到这一问题的影响，因为它们不使用JavaScript作为数据传输机制。

据布赖恩称，尽管Web 2.0技术已经很普及，但大多数企业还没有完全采用它这意味着我们还有时间来解决这类安全问题。他说，从长期来看，我们需要能够更好地应对这类Web安全问题的更好的标准和浏览器。同时，开发人员需要修正他们的代码。