Как можно автоматически запустить букмарклет без взаимодействия? Это дыра в безопасности?

Question

Прошлой ночью, слушая turntable.fm, я искал потрясающее автоматическое расширение для Chrome.Я наткнулся на букмарклет , который делает то же самое.То, что заставило меня задуматься, заключалось в том, что букмарклет может действовать автоматически, и я ничего не делаю.Как оно это делает?Это дыра в безопасности, которую нужно исправить?Что мешает кому-то из социальной инженерии использовать букмарклет для перебора паролей?

Answer 1

Страница Как использовать показывает этот букмарклет, явно запущенный пользователем один раз (при вводе идентификатора самой кнопки), а затем периодически проверяет, может ли он вызвать событие нажатия до «auto-awesome».«.Букмарклет - это гиперссылка, в которой вместо URL-адреса используется JavaScript, поэтому его нельзя выполнить, не щелкнув по нему пользователя.

Когда вы запускаете букмарклет (или действительно запускаете любой JavaScript-код), вы фактически даетеэтот код разрешает действовать как вы с содержанием текущей страницы.Это может быть непонятно для пользователя, но в браузерах есть история отсутствия специальной обработки букмарклетов, поэтому я не ожидал, что это поведение изменится.

Теоретически букмарклет может быть написан для прослушивания паролей, но пользовательсначала нужно будет как-то инициировать букмарклет на странице, где они будут вводить пароль.Это скорее проблема пользователя, выполняющего ненадежный код, чем браузер с дырой в безопасности.