Чем может грозить Java Плагин?

[Redjik]

Другу ломанули сайт, сайт стучится на другой сайт и просит Java плагин?

Руки не доходили до сих пор поработать с Java плагинами, поэтому не знаю ни протокол, по которому он работает, ни какой доступ к моей банке он получает.

Буду рад любым ссылкам.
Аля natanke, но по плагинам.

 

[baev]

Чем может грозить Java Плагин?

— взломом компьютера через «дырявую» версию JRE, установленную на этом компьютере.

сайт стучится на другой сайт

— на какой «другой»?
Вообще-то, «стучится» браузер, а не сайт. И если он «стучится» не на официальный сайт — думаю, последствия не надо объяснять?

 

[Redjik]

да, браузер само собой =)

список багов на сайте Sun смотреть?

 

[Krishna]

Что значит "Чем может грозить Java плагин"?? Вопрос непонятен абсолютно. Что под плагином подразумевается? Если JRE-plugin браузера, обеспечивающий поддержку Java-апплетов, то сам по себе, очевидно, он ничем грозить не может . Java-апплеты по идее исполняются согласно java security policy, особая хрень в Java отрубающая часть функциональности вирт. машины, согласно заданной конфигурации, которая по дефолту им особо распоясаться не должна давать. Какая используется для апплетов я не в курсе, надо гуглить. Я апплетами не занимался.

список багов на сайте Sun смотреть?

Sun уже пару лет как почил в бозе, будучи с потрохами выкуплен Ораклом, увы и с добрым утром )

 

[fixxxer]

Java-апплеты по идее исполняются согласно java security policy

По идее то оно да...
http://www.oracle.com/technetwork/topics/security/javacpufeb2012verbose-366319.html

 

[Krishna]

По идее то оно да...
http://www.oracle.com/technetwork/topics/security/javacpufeb2012verbose-366319.html

Не могу читать, меня тошнит от ораклового сайта и их манеры подачи информации. Ну вот далеко ходить не будем, на примере этого списка, это же лютый п..ц!
Под четырёхзначными номерами дают один и тот же шаблонный текст про "unauthenticated network attacks via multiple protocols"...

И все абсолютно доки у них такие же...

 

[Krishna]

Эх, Sun, на кого ты нас покинул

 

[Redjik]

Java-апплеты имел ввиду, извиняюсь за косноязычие.

 

[Вурдалак]

какой доступ к моей банке он получает.

Банке?

 

[Redjik]

Банке?

извиняюсь за косноязычие

к локальному компу... тоесть какой доступ имеет java-апплет к компу

в принципе ответ в java security policy - спасибо, читаю

 

[fixxxer]

Не могу читать, меня тошнит от ораклового сайта и их манеры подачи информации. Ну вот далеко ходить не будем, на примере этого списка, это же лютый п..ц!
Под четырёхзначными номерами дают один и тот же шаблонный текст про "unauthenticated network attacks via multiple protocols"...

И все абсолютно доки у них такие же...

Есть такое, да. Я вот эту нашумевшую дырень имел ввиду
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-3544
http://www.securityfocus.com/bid/50218

 

[baev]

Java-апплеты имел ввиду, извиняюсь за косноязычие.

— мда.
Загрузка неизвестного апплета аналогична загрузке и запуску неизвестной программы. Неужели последствия не очевидны?

 

[Redjik]

baev
Дак я ничего и не запускаю, а вот мои родители, если бы увидели, вполне могли бы ткнуть, и я считаю, что это в первую очередь упущение разрабочтков окружения, что допускают через апплеты доступ к системе.
Должно быть огромными буквами написано, что это потенциально опасное действие.

ЗЫ. мой друг на ie это дело запустил (то есть его даже не спросили), благо меня хром предупреждает...

 

[Absinthe]

В связках эксплоитов куча эксплоитов для JRE. Они тянут апплеты, которые обходят песочницу и творят зло.