[Перевод] CraSSh: ломаем все современные браузеры вычислениями в CSS

Скрипты и советы | 30 ноября 2018 1 497

Уроки CSS на Хабрахабре, habrahabr.ru, CSS

Автор статьи: Константин Сафонов

Не хочу читать эту техническую болтовню. Просто повали уже мой браузер.

Что такое CraSSh


CraSSh — это кроссбраузерная чисто декларативная DoS-атака, основанная на плохой обработке вложенных CSS-функций var() и calc() в современных браузерах.

CraSSh действует во всех основных браузерах на десктопах и мобильных устройствах:

На движке WebKit/Blink — Chrome, Opera, Safari, даже Samsung Internet на смарт-телевизорах и холодильниках.

Android WebView, iOS UIWebView также затронуты, то есть можно обвалить любое приложение со встроенным браузером.

На движке Gecko — Firefox и его форки, такие как Tor Browser.

Servo не запустился ни на одной из моих машин, поэтому я его не протестировал.

На движке EdgeHTML — Edge в Windows, WebView в приложениях UWP (их вообще кто-нибудь использует?)

Браузер IE не затронут, поскольку он не поддерживает функции, на которых основана атака, но у его пользователей немало своих проблем (вероятно, этот браузер можно порушить другими способами — прим. пер.).
Читать дальше →
[Перевод] Основные принципы маскирования в CSS

В мире дизайна маскирование является популярной техникой реализации уникальных эффектов. Будучи дизайнером, я сам...

Подробнее
CSS Grid Layout. Быстрый старт

Вступление Всем привет. Февраль-Март 2017 года запомнились для многих, кто работает с HTML и CSS тем, что большинство...

Подробнее
Атака «Браузер внутри браузера». Как защититься

Поддельное окно авторизации, чтобы выманить пароль пользователя Современные средства HTML/CSS позволяют сгенерировать...

Подробнее
Вывод содержимого сайта только для определенного браузера - Плагин browser-selection by TCSE

Плагин browser-selection by TCSE это еще один хак для mobiledetect.class.php встроенного в DLE 15 - 18.1. Добавляем...

Подробнее
[Перевод] CSS-функции min(), max() и clamp()

Поддержка CSS-функций сравнения min(), max() и clamp() появилась в Firefox 8 апреля 2020 года. Это означает, что данные...

Подробнее
Вышел Firefox 117

Стала доступна версия Firefox 117. Теперь браузер поддерживает автоматический перевод веб-контента. Однако поддержка...

Подробнее

💬 Комментарии

В связи с новыми требованиями законодательства РФ (ФЗ-152, ФЗ «О рекламе») и ужесточением контроля со стороны РКН, мы отключили систему комментариев на сайте.

🔒 Важно Теперь мы не собираем и не храним ваши персональные данные — даже если очень захотим.

💡 Хотите обсудить материал?

Присоединяйтесь к нашему Telegram-каналу:

https://t.me/tcsecms/

Нажмите кнопку ниже — и вы сразу попадёте в чат с комментариями