Per navigare uso Firefox. E per navigare tranquillo e senza rotture di scatole uso Noscript. Mi piace l’idea che tutto stia in una blacklist totale tranne quello che io decido non debba starci. Spesso però dimentico di “whitelistare” (passatemi il termine) alcuni siti che navigo frequentemente o, semplicemente, sbaglio e lo metto in white-list solo per la sessione corrente. Proprio questa svista oggi mi ha permesso di vedere il codice di quello che sembra uno script malefico inserito all’interno di un sito. Non ho ancora visto se è un XSS, un hack vero e proprio o solo una poco coscenziosa tecnica di black-seo, e non ha neanche importanza.
Stranamente nessun advisor (come McAfee o Google sites) riporta il sito come con contenuto malevolo. Ciò probabilmente dipende dal fatto che il codice è implementato tramite javascript (quindi, probabilmente, si tratta di una vulnerabilità di tipo XSS).
Questo quello che ho appena visto:
Il sito con i javascript abilitati:
Disabilito i Javascripts:
Ecco il codice:
Questo è uno dei tanti motivi per cui NON BISOGNA AFFOGARE UN SITO CON I PLUGIN solo perchè sono “cool” o di tendenza.
EDIT: come consigliato al proprietario del sito, una prima linea difensiva potrebbe essere WPIDS che insieme a PHP-IDS tengono sotto controllo gli accessi non autorizzati. La seconda linea difensiva, come sempre, è data dal buon senso e dall’esperienza.
