Re: [新聞] EITest偽裝技術支援誘騙用戶下載挖礦程式

作者: danny0838 (道可道非常道)   2017-09-28 00:18:25
※ 引述《Toge (To Valhalla!)》之銘言:
: 推薦用uBlock Origin來擋
: uBlock Origin工具列圖示點下去有個齒輪圖示按鈕
: 點下去進入設定畫面這樣設定:
: 1. 第一頁勾選 I am an advanced user
: https://imgur.com/QetqLOi.jpg
: 2. 第二頁除了第三個選項,其餘全部勾選
: https://imgur.com/wtxLcUR.jpg
: 3. 回到網站畫面點工具列圖示,這邊需要講解一下,UI寫得有點簡陋= =
: https://imgur.com/3hwwiuy.jpg
補充一下,上面的 1. 基本上是為了 3.,
如果有人只想設定 2. 而不想設定 3.,可以略過 1.。
: 如果你不想了解這UI的話
: 只要把3rd-party scripts和frames設成左邊紅色就好
: (如圖,但上面的3rd-party不要動)
: 大部分的網頁開出來應該都會正常
: 但Coinhive應該都會擋掉
: 記得!!改完了之後左上角有個鎖頭的圖案
: 那是存檔的按鈕,要記得按!不然重開瀏覽器就沒了
...(中間恕刪)
: 弄完了以後
: 你會發現什麼彈出式視窗啦
: 什麼全螢幕提示啦
: 廣告圖片和gif啦
: 一切看不到的tracking和惡意套件啦
: 這些平常沒辦法擋的全部都擋掉了
: 而且網站讀取速度也會變快喔
: 當然這需要一點耐心去設定就是了.....
: 手機版的Fx和GC也可以喔
uBlock 功能的確非常強大,
而做以上設定也的確可以擋掉非常多東西、讓網頁快很多。
不過有一點提醒大家,
副作用並沒有 Toge 講的那麼小,
上述設定足以讓非常、非常多網頁運作不正常。
我簡單說明原理:
把 3rd-party (第三方)@改成紅色,
表示要阻擋所有來自與目前網站不同網域的圖片,
只有同一網站的圖片才允許載入。
很不幸地,以部落格文章為例,
部落客的圖片常常是放在圖床,
以最知名的 Blogger 來說,
一個位於 xxx.blogspot.tw 的部落格,
其圖片如果是放在 Google 相簿,網域可能是 1.bp.blogspot.com,
於是你會看到部落格充滿了缺圖。
又如 PTT 使用者常貼 imgur 的圖,
由於 web 版 PTT 的網域是 www.ptt.cc,
而 imgur 的網域是 imgur.com,
所以你上 web ptt 也會看到一堆缺圖。
第三方圖片基本上不太會帶來安全風險,
頂多是廣告,而廣告可以訂閱其他廣告阻擋規則去擋,
雖然擋不住全部,但至少比較不會影響網頁正常運作,
我個人不建議把這項改成紅色。
3rd-party-script (第三方腳本) 如果改成紅色,
表示要阻擋所有來自與目前網站不同網域的 javascript。
絕大多數的惡意程式碼是透過第三方 javascript 插入及執行,
因此這個設定確實可以去除很多安全風險。
不過副作用也是不少,
因為非常多網站在自己的 javascript 常會用到第三方框架,
比如 jQuery 通常會向 ajax.googleapis.com 取得,
這當然也是和原站台不同網域。
如果你把第三方腳本封鎖,那些框架就無法載入,
網站原本的程式碼沒了第三方框架也會完全無法運作,
於是你會發現很多網站功能無法運作,
比如很多 Blogger 部落客會安裝外掛產生最近文章、最新評論等等,
會因此通通無法運作。
其他像網站的流量計數器之類也是依賴第三方腳本,
所以這樣設定也會讓你常看的網頁的作者得不到流量,
至於這是好是壞就見人見智了。
如果對安全性有疑慮,封鎖第三方腳本最有機會保護你,
但是這也的確可能讓很多網站的正常功能無法運作,
而且腳本無法運作不像圖片那麼明顯可見,
你可能不太容易搞清楚是網站本來就這樣還是你的阻擋規則導致。
3rd-party-frame (第三方框架) 如果改成紅色,
表示要阻擋所有來自與目前網站不同網域的 frame 或 iframe。
frame 現在已經極少使用,
而 iframe 常用於像是 嵌入 Youtube 影片、Disqus 討論區或臉書留言外掛,
或外掛臉書按讚、分享至 XXX 按鈕等等。
如果你勾了,這些外掛的東西都會消失。
現在大多數瀏覽器會實施同源政策,
第三方 frame 不太有能力造成安全風險(9/28補充:請見以下討論),
頂多是可能有煩人的廣告,
但這一樣能透過訂閱廣告阻擋規則去擋。
但話說回來,那些外掛按鈕或留言板也未必有那麼重要,
要不要這樣設定就見仁見智了。
當然,有經驗的使用者還是可以針對需要正常運作的網站設定成開放。
比如把 ajax.googleapis.com、youtube 等加入白名單放行,
或針對你需要的站台特別放行,
做法其實不難,就是在無法正常運作的網頁把右邊設成灰色或綠色,
但是這些都需要經驗,需要對網頁運作有相當瞭解,
不懂的人根本不知道需要把誰加入白名單、應該設灰色或綠色,
它會被 uBlock 作者稱之為進階設定不是沒有原因的。
總之,除非你懂或打算現在開始學習,
並且有心理準備、也願意花時間針對未來可能運作不正常的網頁除錯,
否則做這些設定前還是三思。
作者: t7yang (t7: 我認為這是一種背叛)   2017-09-28 00:44:00
這個觀念在用 uMatrix 看得更清楚,因為是矩陣式不過就像原PO講,擋掉第三方會讓絕大多數網站運作不正常所以用 uBO 加上規則訂閱是相對簡單入手的。
作者: Toge (To Valhalla!)   2017-09-28 06:24:00
當然這是比較暴力的方法,但其實試過很多網站,
作者: bajiqa (多爾)   2017-09-28 08:44:00
按照該設定,youtube就不會自動播放影片,變成一直轉圈
作者: Toge (To Valhalla!)   2017-09-28 10:06:00
可以將googlevideo.com設成灰色
作者: jimshow2001   2017-09-28 10:38:00
我是用 scriptblock
作者: Toge (To Valhalla!)   2017-09-28 15:57:00
了解,感謝詳細分析!
作者: stucode   2017-09-28 18:24:00
推分析。
作者: goldie (阿良)   2017-09-30 15:44:00
感謝如此深入淺出易懂的解說,解了長久使用的困惑。

Links booklink

Contact Us: admin [ a t ] ucptt.com