웹 사이트를 열면 웹 사이트가 브라우저를 대신하여 모든 종류의 작업을 수행하도록 지시 할 수 있습니다. 가장 간단한 경우에는 표시 할 텍스트와 그림을 보내지 만 브라우저에서 실행할 작은 프로그램 (JavaScript, 브라우저가 내장되어 있거나 Java 또는 Flash와 같은 브라우저 플러그인을 사용하여)을 보낼 수도 있습니다. .
원칙적으로 웹 사이트 방문만으로 감염되는 것은 불가능합니다.
브라우저는 사용자가 방문한 웹 사이트를 대신하여 프로그램을 실행하지만 이러한 프로그램은 "무해한"작업 만 수행 할 수 있도록 신중하게 제한됩니다. 예를 들어 JavaScript에서 JavaScript가 속한 페이지를 변경할 수 있습니다 (둘 다 같은 웹 사이트에서 왔기 때문에 해를 끼칠 수 없기 때문에). JavaScript는 다른 웹 사이트에서 페이지를 변경하지 않을 수 있습니다. 홈 뱅킹 디스플레이)에 연결되어 컴퓨터의 파일에 직접 액세스하지 못할 수 있습니다.
대부분의 플러그인 (적어도 Java 및 Flash의 경우)에는 비슷한 제한 사항이 있습니다. 코드는 본질적으로 자신의 상자에 있고 실행되는 컴퓨터와 분리 되어 있기 때문에 일반적으로 샌드 박스 라고합니다 . 특히 컴퓨터에서 실행되는 "일반"프로그램과 같이 하드 디스크의 파일을 읽거나 프로그램을 시작할 수 없습니다.
이제는 원칙적으로 안전하지만 실제로 는 그렇지 않을 수 있습니다. 그 이유는 모든 프로그램과 마찬가지로 샌드 박스 시스템에 버그가 있기 때문입니다. 때때로 이러한 버그로 인해 프로그램이 샌드 박스를 "깨뜨리고"브라우저 나 플러그인을 사용하여 허용되지 않는 작업을 수행 할 수 있습니다. 이러한 트릭은 매우 정교 할 수 있습니다.
예 :
- 일반 프로그램과 마찬가지로 브라우저 나 플러그인의 구현에는 버퍼 오버플로가있을 수 있으며,이를 통해 웹 사이트가 특수하게 조작 된 코드를 입력하여 브라우저에 보내서 실행할 수 있습니다.
- 샌드 박스와 관련하여 이전 버전의 Sun Java 플러그인에는 취약점이있었습니다. 샌드 박스는 로컬 파일을 읽거나 삭제하는 등 프로그램이 손상 될 수있는 모든 Java 함수에 대한 액세스를 허용하지 않으며 여전히 허용하지 않습니다. 그러나 샌드 박스는 Java 애플릿에서 이러한 기능에 대한 액세스를 올바르게 차단했지만 브라우저는 "반사"라는 기술을 통해 JavaScript에서 이러한 기능에 대한 간접 액세스도 허용했습니다. 이 "백도어"는 개발자들에 의해 충분히 고려되지 않았으며 샌드 박스 제한을 우회하여 샌드 박스를 깨뜨 렸습니다. 자세한 내용은 https://klikki.fi/adv/javaplugin.html 을 참조하십시오.
불행히도 JavaScript, Java 및 Flash의 샌드 박스에는 몇 가지 취약점이 있습니다. 이러한 취약점을 탐지하여 악용하는 악의적 인 해커와이를 탐지하고 해결하는 훌륭한 해커와 개발자 사이에는 여전히 일종의 경쟁이 있습니다. 일반적으로 신속하게 수정되지만 때로는 취약한 창이 있습니다.
BTW : 샌드 박스는 일부 Java 애플릿이 시작시 "이 애플릿을 신뢰합니까?"라는 경고를 표시하는 이유입니다.이 애플릿 은 샌드 박스에서 컴퓨터를 꺼내도록 요청 합니다. 이것은 때때로 필요하지만, 정당한 이유만으로 부여되어야합니다.
추신 : ActiveX (최소 초기 버전)가 너무 안전하지 않은 이유는 ActiveX 가 샌드 박스를 사용 하지 않았기 때문 입니다. 웹 페이지의 모든 ActiveX 코드는 시스템에 완전히 액세스 할 수 있습니다. 공정하게 말하면, 이것은 이후 버전에서 (부분적으로) 수정되었습니다.