Metković, 29.3.2009. - Već nekoliko dana posjetitelje naše stranice, koji na nju idu preko Googlea, zbunjuje obavijest kako bi ta stranica mogla naštetiti njihovu računalu. O čemu se radi?


   Prije objašnjenja bitno je naglasiti da na serveru gdje se nalaze naše stranice nema virusa niti kakvog drugog malicioznoga softvera. O tome računa vodi tvrtka kod koje smo zakupili prostor, a to u objašnjenju kaže i Google, no strah ostaje.
    Internetske stranice Metkovića razvijaju se već deset godina i u pozadini onoga što posjetitelji vide kao tekst i slike stoji preko petsto datoteka programskoga koda koji se većim dijelom  izvodi na serveru, a manjim na računalu posjetitelja. Dio koda pisan je u vrijeme kada nije prijetila opasnost zlorabe niti su tadašnji preglednici, kao što je Internet Explorer, bili imuni na pogreške u kodu, kao što su danas.
    Radi se o tome da mi na nekoliko mjesta imamo obrasce za unos tekstualnih podataka, kao što su tražilica u arhivu vijesti ili u gradskom indeksu. Unesenu pojam kontrolirao se na tzv. HTML tagove kao što su < i > kako bi se spriječio unos nekog koda, no  to danas nije dovoljno nego kontrolu treba proširiti i na neke druge znakove, što smo ovih dana učinili na dijelu starijega koda.
    Što se moglo dogoditi?
    Ništa loše jer na našim stranicama od posjetitelja ne tražimo podatke kao što su broj kreditne kartice i sl. Radi se o tzv. Cross site scriptingu kojim se umjesto nekog normalnog teksta u polja unosi programski kojim se želi promijeniti ponašanje napadnute stranice. U našem slučaju to se moglo dogoditi samo na računalu onoga koji je takav kod unio jer su svi zajednički sadržaji, kao što je baza vijesti i rječnik, od toga bili zaštićeni.
    Druga mogućnost krila se u promjeni parametara preko kojih polazna stranica komunicira s odredišnom. Recimo, uđete na stranicu Maškare i kliknete na Velike poklade 2009. Stranica Maškare tada serveru šalje podatak s imenom datoteke u kojoj je željeni sadržaj, a program na serveru kreira tu stranicu i šalje je internetskom pregledniku na računalu posjetitelja. I u tom slučaju promjena ponašanja događala bi se samo na računalu samoga napadača kojemu bi server poslao tako izmijenjenu stranicu, dok ostali posjetitelji s tim ne bi imali veze jer oni na serveru imaju otvorenu svoju sesiju (sijelo).
   Kada bi moglo biti opasno?
   Ponajprije, o bilo kakvoj šteti na računalu posjetitelja nema ni govora, mislim na pokretanje zločestoga programskoga koda. Šteta je mogla nastati da su se neki podaci posjetitelja upisivali u bazu pa bi kasnije netko s njima mogao manipulirati. Recimo, da imamo servis tipa Kupi-prodaj gdje bi posjetitelji ostavljali svoje ponude. Tada bi bila moguća tzv. krađa identiteta ili bi se umetanjem koda u tekst ponude druge posjetitelje moglo preusmjerivati na internetske stranice na kojima stvarno ima malicioznoga softvera.
   Zbog svega gore opisanoga to se nije dogodilo jer se nije ni moglo dogoditi. Žao mi je što je veliku većinu naših posjetitelja sve ovo zastrašilo. Pretražena su sva kritična mjesta u datotekama s programskim kodom i na server poslane nove verzije. Od Googlea sam zatražio novi pregled pa se nadam da će ono famozno upozorenje biti skinuto.
Uz ispriku, Ivica Puljan, urednik www.metkovic.hr.