JavaScript vormt toenemend veiligheidsrisico

SPI Dynamics heeft een manier gevonden waarmee het mogelijk is om via JavaScript na te gaan of achter een IP-adres een webserver hangt en welke software daarop gedraaid wordt. In theorie zou het ook mogelijk moeten zijn om via ditzelfde stukje JavaScript lekken in de webservers uit te buiten door bepaalde commando's naar de server te sturen. Er wordt hierbij slechts gebruikgemaakt van JavaScript, wat betekent dat de techniek werkt in een groot aantal browsers en op verschillende besturingssystemen. Bij het scannen van de IP-adressen wordt geen misbruik gemaakt van lekken of bugs in browsers of in hun JavaScript-implementatie. Het maakt ook niet uit of een firewall aanwezig is, aangezien de browser daar toch al wel doorheen mag komen. Vooralsnog is dan ook de enige oplossing hiertegen het volledig uitschakelen van JavaScript-support in de browser. Dat zal echter als gevolg hebben dat een groot aantal sites niet meer volledig zal werken.

De werking van het script is eigenlijk vrij eenvoudig. Er wordt met behulp van JavaScript een Image-object aangemaakt. Het bronattribuut van deze afbeelding verwijst naar een van de ingegeven IP-adressen. Vervolgens wordt dit plaatje opgevraagd. Als er een reactie komt, bestaat er een host op het IP-adres en wordt doorgegaan met de volgende stap: ontdekken of het om een webserver gaat. Dit wordt gedaan door de host te vragen nogmaals te reageren. De output van deze request wordt in een verborgen iframe geladen. Als er output komt, wordt de volgende stap gezet: controleren om welke webserver het gaat. Dit wordt gedaan door na te gaan of een bepaalde afbeelding, uniek voor iedere webserver, aanwezig is op de server. Nu bekend is om welke software het gaat, kan eventueel een aanval gestart worden door bijvoorbeeld dynamisch html-formulieren op te bouwen en te versturen. Ook kan de gevonden informatie verstuurd worden naar de server van een kwaadwillende hacker.

Een proof-of-concept van deze JavaScript-functionaliteit kan gevonden worden op de site van SPI Dynamics, tezamen met een pdf'je met achtergrondinformatie. Het is de bedoeling dat tijdens de Black Hat-conferentie, die de komende dagen in in Las Vegas plaatsvindt, meer informatie gegeven zal worden over de techniek. Volgens Fyodor Vaskovich, auteur van de populaire Nmap-tool is het al jaren mogelijk dit soort kwaadaardige scripts te schrijven met behulp van JavaScript. Door bughunters werd echter voornamelijk gezocht naar flaws in de browsersoftware zelf, omdat hiermee sneller resultaat verkregen kon worden. Het voordeel van JavaScript-aanvallen is dat het moeilijk is ze op te lossen zonder webapplicaties kapot te maken. Daardoor zal een gevonden probleem op de lange termijn dus meer resultaat kunnen hebben. Dit zou dan ook wel kunnen betekenen dat malwareschrijvers hun aandacht gaan richten op JavaScript en meer kwaadaardige applicaties gaan ontwikkelen.