Sposoby na hakowanie kodu JavaScript/wstrzykiwanie/manipulowanie są trudne?

Question

Czy istnieją sposoby zapobiegania lub utrudnienia, aby ktoś wprowadził Javascript i manipulował zmiennymi lub funkcjami dostępu? Myślałem, że muszę zmienić losowo wszystkie nazwy var przy każdym ponownym załadowaniu, aby skrypt złośliwego oprogramowania musiał zostać przepisany za każdym razem? Czy są inne, mniej bolesne sposoby?

Rozumiem, że w końcu ktoś się włamie, ale chciałbym wiedzieć, jak trudno jest odtworzyć to działanie, aby ludzie nie publikowali skryptozakładki lub czegoś podobnego do użycia przez wszystkich. Nie dbam o to, czy eksperci odnajdą się w kodzie, ale chciałbym, żeby był nieco bardziej skomplikowany niż

Jeśli znasz sposoby na hackowanie Javascriptu nieco trudniej, napisz je.

Answer 1

Możesz napisać swój JS, aby używać tylko prywatnych metod i zmiennych w funkcji samowykonania. Na przykład poniższy kod nie pozostawia żadnych śladów w globalnej przestrzeni nazw, z którymi mógłby się łączyć małpa.

(function(){ 
    var x = 1; 
    var y = 2; 
    var z = "A am z"; 
    var clickHandler = function() { 
     alert('You clicked the body'); 
    }; 
    document.getElementsByTagName('body')[0].addEventListener('click',clickHandler,true); 
}()); 

---

[Edycja] ten kod jest podatny do użytkownika zastępującego dostępne na całym świecie obiektów, metody zdarzenia lub właściwości, które są używane (w tym przypadku, document, getElementsByTagName i addEventListener), a więc w przypadku jesteś naprawdę paranoikiem, możesz skopiować je do zakresu funkcji przed załadowaniem strony, a użytkownik ma szansę ich zastąpić. Używanie addEventListener jest dobrym pomysłem, ponieważ w przeciwieństwie do zdarzenia body.onclick, nie można go usunąć ani nadpisać spoza tej funkcji.

Answer 2

Zaakceptuj, że Twój skrypt javascript zostanie "zmanipulowany" i udostępniony po stronie serwera. Zasadniczo nic nie możesz zrobić, aby powstrzymać ludzi od majsterkowania z klientem.

Answer 3

Obfuskacja i zminimalizowanie sprawiają, że trudniej jest zhakować, ale zgadzam się ze spenderami.

Answer 4

Każdy użytkownik, który naprawdę będzie chciał manipulować klientem, będzie mógł to zrobić. Kod znajduje się na jego komputerze. Nawet jeśli zaciemnisz kod po stronie klienta, istnieją narzędzia, które pomogą komuś oddzielić kod w ciągu sekundy.

Należy jednak pamiętać o tym, że witryna jest bezpieczna na serwerze, a także bezpieczna dla innych użytkowników. To oznacza (jako minimum):

1. Sprawdzanie/Members każde żądanie i parametrów wejściowych na serwerze, dzięki czemu użytkownicy nie będą mogli zmieniać żadnych danych po stronie serwera przez wyzwalanie „hacked” funkcji po stronie klienta Napisałeś .

2. Sprawdź wszystkie dane, które wyświetlisz na ekranie, który powstał na podstawie danych wprowadzonych przez użytkownika. Inni użytkownicy mogą wstawiać skrypty po stronie klienta, które są niebezpieczne dla Twojej witryny, a szczególnie niebezpieczne dla innych użytkowników Twojej witryny. (Jeśli używasz .net, a następnie sprawdź bibliotekę AntiXSS)