книги хакеры / журнал хакер / 202_Optimized

DEAD PIXEL DETECT AND FIX

Платформа: Android

Цена: бесплатно play.google.com/store/apps/details?id=com.htc. chris.blackspotdetect

Дефекты пикселей даже на новом смартфоне не такая уж редкость, поэтому, помимо датчиков, камеры и тач-экрана, следует протестировать также и LED-матрицу девайса. И самый простой способ — просто залить экран ярким цветом и попытаться найти темные точки (или точки другого цвета) с помощью лупы.

Приложение Dead Pixel Detect and Fix делает именно это, то есть заливает экран одним из выбранных цветов. Вторая функция приложения — исправление дефектных пикселей, и именно благодаря ей оно получило множество негативных отзывов. Проблема, однако, не в самом приложении, а в подмене понятий. По-настоящему мертвые пиксели (dead pixel), которые вообще не испускают свет, оно не исправит, а вот «застрявшие» (stuck), те, что постоянно горят одним цветом, вполне может.

Как показала практика, зачастую такие пикселиначинаютработатьпосленескольких сотен (тысяч) смен своего состояния, то есть изменения цвета. Приложение делает именно это. Ты выбираешь пункт «Исправить!» в меню, и экран начинает мигать разными цветами. Обычно 30–60 секунд оказывается достаточно, чтобы «растормошить»пиксели.

Платформа: Android

Цена: бесплатно / 79 рублей play.google.com/store/apps/details?id=com. gombosdev.ampere

Покупка зарядника может обернуться еще большей головной болью, чем покупка смартфона. Нередко производители (привет, Китай) завышают их мощность, из-за чего устройство с заявленной выходной силой тока в 1000 мА может заряжать смартфон по четыре-пять часов. К счастью, измерить реальную мощность можно и без специальных инструментов.

Ampere умеет высчитывать примерную мощность зарядника, следя за скоростью заряда/разряда батареи. Сначала ты просто запускаешь приложение и ждешь десять секунд, по истечении которых приложение показывает потребление батареи смартфоном (обычно оно составляет 200– 300 мА). Затем подключаешь девайс к заряднику и снова ждешь десять секунд. В этот раз приложение должно показать скорость заряда устройства. Теперь осталось сложить эти два значения, и ты узнаешь реальную мощность зарядника.

На скриншоте показан Ampere, запущенный на подключенном к ноутбуку смартфоне. Потребление батареи смартфоном составляет 190 мА. Сложив 190 и 260, мы получаем 450, что вполне соответствует определенным стандартом 500 мА, которые должен выдавать USB-порт ПК и ноутбука. При подключении к 1-ам- перному заряднику Ampere показывает 760, что также недалеко от истины:

760 + 190 = 950.

Взлом

Задача: XSS с помощью SVG

•как картинку — через тег <img> или свойство CSS background-image. Но в этом случае во всех современных браузерах JavaScript выполняться не будет;

•как сторонний объект — с помощью тегов <object>, <embed>, <iframe>. JS в этом случае работает, но требуется помнить про то, что работают и стандартные Same Origin Policy;

•встроить в саму страницу (inline). Примеры выше как раз такие, и JavaScript работает;

•с помощью тега canvas. По идее, JS в этом случае работать не должен, но подтверждения этому я не нашел.

Если мы загрузим на сервер-жертву файл SVG, то, возможно, он отобразится, но в нем не будет работать JavaScript — как раз из-за того, что он подгружается с помощью тега <img>. Но мы спокойно можем воспользоваться вторым или третьим методом и использовать прямую ссылку на наш SVG на атакуемом сервере.

Интересный момент: к SVG применяются не все правила парсинга XML. Возможно, это связано лишь с известной гибкостью браузерных парсеров. Например, для корректного XML необходимо, чтобы значения атрибутов элементов были обрамлены двойными кавычками (см. пример выше). Но в SVG мы можем избавиться от них.

Кроме того, если где-то будет незакрытая кавычка, то в случае с XML документ не будет считаться корректным, а в SVG такие атрибуты просто пропускаются. То же самое относится и к тегам. Это дает дополнительное пространство для атак.

Еще одну лазейку открывает то, что в SVG можно встраивать другие документы или даже тот же самый документ. Это может быть использовано для обхода Content Security Policy — примеры можно увидеть в презентации с Black Hat 2014, один из них я разберу подробнее.

Ну и последнее, что нужно знать об SVG, — он является «официальным» XML и потому глубоко связан с остальным семейством форматов. SVG поддерживает Document Type Definition (DOCTYPE) с сущностями (entity), а потому есть потенциальная возможность для эксплуатации XXE. Также он поддерживает технологию XSLT. Можно, например, сделать такой файл SVG, который