Falsify WebPage Killer † Edit

↑

メッセージ † Edit

①Webページ改竄などの「ドライブバイダウンロード攻撃」への、おまじないフィルタです。
②安全面へのおまじないフィルタなので・・・「中」で公開。
③スクリプト系のサンプルどこかにないかなぁ？

※重要：思い付きで作ったので、何かお気付きな点がありましたら御教示お願いします。
↑

主要OS・ソフトウェアへのリンク † Edit

※感染しない為に最新バージョンへアップデートを！
　Windows Update / Microsoft Update
　Java / Jre
　Adobe Reader
　Adobe Flash Player

↑

更新履歴 † Edit

動作確認日 ： 2013/05/31
*-----------------------------------------------------------------------------*
2013/06/05 ： フィルタを[Heavy][Lite]と分けてみました。
2013/05/31 ： ③フィルタを修正。
              （※「ダイアログ表示」を無くしました。）
              （※</body>以降を「強制切り捨て」に変更。最後尾に[ Falsify WebPage : body ]表示。）
              （※<iframe>を「隠す・目立たなく」に適応。）
              （※<!-- . -->に続く「iframe・script」に適応。）
              （※「display:none・visibility:hidden」を設定されているモノ「全て」に適応。）
2013/05/31 ： ②サンプル画像の削除。
2013/05/31 ： ①「主要OS・ソフトウェアへのリンク」を別にまとめ。
2013/05/29 ： フィルタを修正。
              （※設置基準コメントも適応に含めました。）
              （※若干のミスに気付いて慌てて修正。）
↑

フィルタ † Edit

＜ [ Heavy ] フィルタ ＞
　①とりあえずWebページ改竄手法にできるだけ対応。
　②大なり小なり弊害があるので、対応できる方のみで・・・。

[Patterns]
Name = "Falsify WebPage [Heavy] Killer (2013/06/05)"
Active = TRUE
URL = "$TYPE(htm)"
Limit = 1024
Match = "</body>$STOP()$SET(0=\k\r\n<span style="font-size:10px; color:#AAAAAA; text-decoration:none;">[ Falsify WebPage [Heavy] : body ]</span>\r\n</body>\r\n</html>)"
        "|$NEST(<iframe\s[^>]++(width=$AV(1px|1)|height=$AV(1px|1)|style=$AV(display:(\s|)none(;|)|visibility:(\s|)hidden(;|)))\1[^>]+>,</iframe>)$SET(0=<span style="font-size:10px; color:#FF0000; background-color:#ffe3d4; border:1px solid #FF6347; padding:1px;">Falsify WebPage [Heavy] : iframe + \1</span>)"
        "|$NEST(<!-- . --><(iframe|script)\1[^>]+>,</$TST(\1)>)$SET(0=<span style="font-size:10px; color:#FF0000; background-color:#ffe3d4; border:1px solid #FF6347; padding:1px;">Falsify WebPage [Heavy] : Comment + \1</span>)"
        "|$NEST(<([a-z]+)\1[^>]++style=$AV((display:(\s|)none(;|)|visibility:(\s|)hidden(;|))\2)[^>]+>,</$TST(\1)>)$SET(0=<span style="font-size:10px; color:#FF0000; background-color:#ffe3d4; border:1px solid #FF6347; padding:1px;">Falsify WebPage [Heavy] : \1 + \2</span>)"
Replace = "\0"


＜ [ Lite ] フィルタ ＞
　①Webページの最後尾に埋め込まれ、「<!-- . -->」を起点にするのだけに対応。
　②弊害が無く、ピンポイントアタックはこちら。

[Patterns]
Name = "Falsify WebPage [Lite] Killer (2013/06/05)"
Active = TRUE
URL = "$TYPE(htm)"
Limit = 1024
Match = "$NEST(<!-- . --><(iframe|script)\1[^>]+>,</$TST(\1)>)"
Replace = "<span style="font-size:10px; color:#FF0000; background-color:#ffe3d4; border:1px solid #FF6347; padding:1px;">Falsify WebPage [Lite] : Comment + \1</span>"
↑

コメント † Edit


複製名前変更