From 8038cfd78f62bc31aa37560015898af9cdb0a1ee Mon Sep 17 00:00:00 2001 From: Translator Date: Sun, 13 Apr 2025 15:54:55 +0000 Subject: [PATCH] Translated ['src/pentesting-web/browser-extension-pentesting-methodology --- .../browext-clickjacking.md | 10 +++++----- 1 file changed, 5 insertions(+), 5 deletions(-) diff --git a/src/pentesting-web/browser-extension-pentesting-methodology/browext-clickjacking.md b/src/pentesting-web/browser-extension-pentesting-methodology/browext-clickjacking.md index 8221b4048..51ed00445 100644 --- a/src/pentesting-web/browser-extension-pentesting-methodology/browext-clickjacking.md +++ b/src/pentesting-web/browser-extension-pentesting-methodology/browext-clickjacking.md @@ -19,7 +19,7 @@ Nyongeza zina faili **`manifest.json`** na faili hiyo ya JSON ina uwanja `web_ac - Kubadilisha hali ya nyongeza - Kupakia rasilimali za ziada -- Kuingiliana na kivinjari kwa kiwango fulani +- Kuingiliana na kivinjari hadi kiwango fulani Hata hivyo, kipengele hiki kinatoa hatari ya usalama. Ikiwa rasilimali ndani ya **`web_accessible_resources`** ina kazi yoyote muhimu, mshambuliaji anaweza kuingiza rasilimali hii kwenye ukurasa wa wavuti wa nje. Watumiaji wasiojua wanaotembelea ukurasa huu wanaweza bila kukusudia kuamsha rasilimali hii iliyounganishwa. Kuamsha kwa namna hiyo kunaweza kusababisha matokeo yasiyokusudiwa, kulingana na ruhusa na uwezo wa rasilimali za nyongeza. @@ -32,7 +32,7 @@ Katika nyongeza ya PrivacyBadger, udhaifu uligundulika kuhusiana na saraka ya `s "icons/*" ] ``` -Hii konfigurasyonu ilisababisha tatizo la usalama. Kwa haswa, faili ya `skin/popup.html`, ambayo inatolewa wakati wa mwingiliano na ikoni ya PrivacyBadger kwenye kivinjari, inaweza kuingizwa ndani ya `iframe`. Kuingizwa huku kunaweza kutumika kudanganya watumiaji kujiingiza bila kukusudia kubofya "Disable PrivacyBadger for this Website". Kitendo kama hicho kingeathiri faragha ya mtumiaji kwa kuzima ulinzi wa PrivacyBadger na kwa uwezekano kupelekea mtumiaji kufanyiwa ufuatiliaji zaidi. Onyesho la kuona la exploit hii linaweza kuangaliwa katika mfano wa video ya ClickJacking iliyotolewa kwenye [**https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm**](https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm). +Hii usanidi ilisababisha tatizo la usalama. Kwa haswa, faili ya `skin/popup.html`, ambayo inatolewa wakati wa mwingiliano na ikoni ya PrivacyBadger kwenye kivinjari, inaweza kuingizwa ndani ya `iframe`. Kuingizwa huku kunaweza kutumika kudanganya watumiaji kujiingiza kwa bahati mbaya kwenye kubofya "Disable PrivacyBadger for this Website". Kitendo kama hicho kingeathiri faragha ya mtumiaji kwa kuzima ulinzi wa PrivacyBadger na kwa uwezekano kupelekea mtumiaji kufuatiliwa zaidi. Onyesho la kuona la exploit hii linaweza kuangaliwa katika mfano wa video ya ClickJacking iliyotolewa kwenye [**https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm**](https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm). Ili kushughulikia udhaifu huu, suluhisho rahisi lilitekelezwa: kuondoa `/skin/*` kutoka kwenye orodha ya `web_accessible_resources`. Mabadiliko haya yalipunguza hatari kwa kuhakikisha kwamba maudhui ya saraka ya `skin/` hayawezi kufikiwa au kubadilishwa kupitia rasilimali zinazoweza kufikiwa mtandaoni. @@ -79,17 +79,17 @@ A [**blog post about a ClickJacking in metamask can be found here**](https://slo
-**ClickJacking nyingine iliyorekebishwa** katika nyongeza ya Metamask ilikuwa kwamba watumiaji walikuwa na uwezo wa **Click to whitelist** wakati ukurasa ulikuwa na shaka kuwa ni uvuvi kwa sababu ya `“web_accessible_resources”: [“inpage.js”, “phishing.html”]`. Kwa kuwa ukurasa huo ulikuwa na udhaifu wa Clickjacking, mshambuliaji angeweza kuutumia kuonyesha kitu cha kawaida ili kumfanya mwathirika abonyeze kuorodhesha bila kutambua, na kisha kurudi kwenye ukurasa wa uvuvi ambao utaorodheshwa. +**ClickJacking nyingine iliyorekebishwa** katika nyongeza ya Metamask ilikuwa kwamba watumiaji wangeweza **Click to whitelist** wakati ukurasa ulikuwa na shaka kuwa ni uvuvi kwa sababu ya `“web_accessible_resources”: [“inpage.js”, “phishing.html”]`. Kwa kuwa ukurasa huo ulikuwa na udhaifu wa Clickjacking, mshambuliaji angeweza kuutumia kuonyesha kitu cha kawaida ili kumfanya mwathirika abonyeze kuorodhesha bila kutambua, na kisha kurudi kwenye ukurasa wa uvuvi ambao utaorodheshwa. ## Mfano wa Steam Inventory Helper -Angalia ukurasa ufuatao ili kuona jinsi **XSS** katika nyongeza ya kivinjari ilivyofungamanishwa na udhaifu wa **ClickJacking**: +Angalia ukurasa ufuatao ili kuona jinsi **XSS** katika nyongeza ya kivinjari ilivyofunganishwa na udhaifu wa **ClickJacking**: {{#ref}} browext-xss-example.md {{#endref}} -## Marejeo +## Marejeleo - [https://blog.lizzie.io/clickjacking-privacy-badger.html](https://blog.lizzie.io/clickjacking-privacy-badger.html) - [https://slowmist.medium.com/metamask-clickjacking-vulnerability-analysis-f3e7c22ff4d9](https://slowmist.medium.com/metamask-clickjacking-vulnerability-analysis-f3e7c22ff4d9)