Decisamente!
Gli aggressori possono utilizzare script dannosi per eseguire attacchi multipli come XSS:
Cross-site scripting (XSS) è un tipo di vulnerabilità della sicurezza del computer che si trova in genere nelle applicazioni Web che consente agli autori di attacchi dannosi di iniettare script sul lato client in pagine Web visualizzate da altri utenti ...
Maggiori informazioni su Wikipedia .
Nessuno script ti dà il potere di controllare tutti gli script di una pagina Web (o di un sito Web) e i plug-in che utilizza come Flash, Java, ecc. Aggiunge siti attendibili a una whitelist e agli altri non è consentito eseguire script, a meno che non li lasci (temporaneamente o permanentemente).
Una domanda e la sua risposta sul sito Web senza script ( faq ) possono fornire alcuni chiarimenti:
Perché dovrei consentire l'esecuzione di JavaScript, Java, Flash e plugin solo per siti attendibili?
JavaScript, Java e Flash, pur essendo tecnologie molto diverse, hanno una cosa in comune: eseguono sul codice del tuo computer proveniente da un sito remoto. Tutti e tre implementano una sorta di modello sandbox, limitando le attività che il codice remoto può svolgere: ad esempio, il codice sandbox non deve leggere / scrivere il disco rigido locale né interagire con il sistema operativo o le applicazioni esterne sottostanti. Anche se i sandbox erano a prova di proiettile (non il caso, leggi sotto) e anche se tu o il tuo sistema operativo avresti avvolto l'intero browser con un altro sandbox (ad esempio IE7 + su Vista o Sandboxie), la semplice capacità di eseguire codice sandbox all'interno del browser può essere sfruttato per scopi dannosi, ad esempio per rubare informazioni importanti archiviate o immesse sul Web (numeri di carta di credito, credenziali e-mail e così via) o per "impersonare" l'utente, ad es. nelle transazioni finanziarie false, lanciando attacchi "cloud" come Cross Site Scripting (XSS) o CSRF, senza la necessità di uscire dal browser o ottenere privilegi superiori a una normale pagina Web. Questo da solo è una ragione sufficiente per consentire lo scripting solo su siti attendibili. Inoltre, molti exploit di sicurezza mirano a ottenere una "escalation di privilegi", vale a dire sfruttando un errore di implementazione della sandbox per acquisire maggiori privilegi ed eseguire attività sgradevoli come installare trojan, rootkit e keylogger. Questo tipo di attacco può colpire anche JavaScript, Java, Flash e altri plugin: Questo da solo è una ragione sufficiente per consentire lo scripting solo su siti attendibili. Inoltre, molti exploit di sicurezza mirano a ottenere una "escalation di privilegi", vale a dire sfruttando un errore di implementazione della sandbox per acquisire maggiori privilegi ed eseguire attività sgradevoli come installare trojan, rootkit e keylogger. Questo tipo di attacco può colpire anche JavaScript, Java, Flash e altri plugin: Questo da solo è una ragione sufficiente per consentire lo scripting solo su siti attendibili. Inoltre, molti exploit di sicurezza mirano a ottenere una "escalation di privilegi", vale a dire sfruttando un errore di implementazione della sandbox per acquisire maggiori privilegi ed eseguire attività sgradevoli come installare trojan, rootkit e keylogger. Questo tipo di attacco può colpire anche JavaScript, Java, Flash e altri plugin:
JavaScript sembra uno strumento molto prezioso per i cattivi: la maggior parte delle vulnerabilità fisse sfruttabili dal browser scoperte fino ad oggi erano inefficaci se JavaScript era disabilitato. Forse il motivo è che gli script sono più facili da testare e cercare buchi, anche se sei un hacker principiante: tutti e suo fratello credono di essere un programmatore JavaScript: P
Java ha una storia migliore, almeno nella sua incarnazione "standard", il Sun JVM. Ci sono stati invece dei virus scritti per Microsoft JVM, come ByteVerifier.Trojan. Ad ogni modo, il modello di sicurezza Java consente l'esecuzione di applet firmate (applet la cui integrità e origine sono garantite da un certificato digitale) con privilegi locali, vale a dire proprio come se fossero normali applicazioni installate. Questo, combinato con il fatto che ci sono sempre utenti che, davanti a un avvertimento del tipo "Questa applet è firmata con un certificato errato / falso. NON vuoi eseguirla! Sei così arrabbiata da eseguirla, invece? [ Mai!] [No] [No] [Forse] ", cercherà, troverà e premerà il pulsante" Sì ", causando una cattiva reputazione persino a Firefox (si noti che l'articolo è abbastanza zoppo, ma come puoi immaginare aveva molto eco ).
Flash era considerato relativamente sicuro, ma da quando il suo utilizzo è diventato così diffuso sono stati riscontrati gravi problemi di sicurezza a un tasso più elevato. Le applet Flash sono state anche sfruttate per lanciare attacchi XSS contro i siti in cui sono ospitati.>
Altri plugin sono più difficili da sfruttare, perché la maggior parte di essi non ospita una macchina virtuale come fanno Java e Flash, ma possono comunque esporre buchi come sovraccarichi del buffer che possono eseguire codice arbitrario se alimentati con un contenuto appositamente predisposto. Di recente abbiamo riscontrato molte di queste vulnerabilità dei plug-in, che riguardano Acrobat Reader, Quicktime, RealPlayer e altri helper multimediali.
Si noti che nessuna delle tecnologie sopra menzionate è generalmente (il 95% delle volte) interessata da problemi sfruttabili pubblicamente noti e ancora senza patch, ma il punto di NoScript è proprio questo: prevenire lo sfruttamento di falle anche sconosciute ma di sicurezza, perché quando vengono scoperte potrebbe essere troppo tardi;) Il modo più efficace è disabilitare la potenziale minaccia su siti non attendibili.