Используя малоизвестную функцию, поддерживаемую большинством веб-браузеров, можно делать так, чтобы веб-страница распечаталась почти на любом сетевом принтере.
Специалист по безопасности Аарон Уивер описал в работе, опубликованной во вторник на сайте Ha.ckers.org, обнаруженный им способ печати, который он называет cross site printing. С его помощью веб-сайт может печатать на принтерах жертвы свою рекламу и теоретически подавать более опасные команды, такие как поручение принтеру отправить факс, форматирование его жесткого диска или загрузка нового микропрограммного обеспечения. Чтобы стать жертвой такой атаки, достаточно посетить вредоносный веб-сайт или легитимную страницу с ошибкой cross-site scripting flaw, которая часто встречается в веб-программировании. Хакер может передать в браузер код JavaScript, который разыщет принтер жертвы и отправит задание на печать.
Уивер организовал успешные атаки на браузеры Internet Explorer и Firefox. Метод работает только с сетевыми принтерами, так что принтер, подключенный непосредственно к ПК, остается неуязвимым. Возможность такой атаки объясняется тем, что браузеры могут соединяться с сетевым портом, используемым большинством принтеров для поиска новых заданий на печать. Применяя браузер в качестве плацдарма, злоумышленник может выйти на дальние рубежи: принтеры, подключенные к локальной сети компании.
До сих пор подобных атак никто не демонстрировал, но исследование Уивера основано на двух концепциях, хорошо известных специалистам по веб-безопасности: атаках типа cross-site scripting и уязвимостях в способе, которым браузеры управляют интернет-протоколом. Исследователи уже демонстрировали, как браузер можно использовать в качестве шлюза для достижения серверов электронной почты или VoIP. Они убеждены, что браузер с присущей ему способностью соединять интернет с локальной сетью будет становиться все более частым источником сетевых атак.
Разработчики браузеров уже знают об этой проблеме. Firefox блокирует порты, связанные с известными уязвимостями, но далеко не все, так как веб-разработчики часто используют такие порты при веб-тестировании. «Если это новая проблема, мы легко добавим в черный список порт 9100, - прокомментировал вице-президент по инжинирингу Mozilla Майк Шрепфер. - Мы еще не провели полный анализ для оценки этой ситуации».
Уивер говорит, что он колебался, прежде чем опубликовать статью, опасаясь, что она навлечет новые беды на интернет, и не стал публиковать полный код эксплойта. В среду он уже получил первое обращение с просьбой показать код - якобы для демонстрации менеджеру реальной опасности. Рано или поздно спамеры найдут решение, так что надо готовиться к распространению по локальным сетям спама cross-site printing.