NoScript ABE - 允许远程站点访问本地资源?

时间:2013-11-21 02:50:34

标签: firefox noscript

我今天在Firefox中使用NoScript的ABE(应用程序边界执行器)与FogBugz和我们的本地源代码控制服务器有问题。 FogBugz案例页面可以包含签到的链接,以便您可以通过本地服务器的Web服务查看源代码更改。

例如:https://SomeCompany.fogbugz.com/default.asp?1234(案例页面)可能包含指向http://SourceCodeControlServer/WebSVN/filedetails.php?...

的链接

请注意,SourceCodeControlServer 是完全限定的域名,只是本地计算机名称。

即使在阅读ABE Rules Syntax and Capabilities PDF后,它似乎没有像宣传的那样有效,仍然会在页面顶部显示“Filtered by ABE”建议,试图打开。关闭ABE或天堂禁止使用MS-IE,还不够高优先级。

任何人都可以提供一些有关以下规则错误原因的见解吗?

# User-defined rules. Feel free to experiment here.
Site .SourceCodeControlServer
Accept from .SomeCompany.fogbugz.com
Deny

1 个答案:

答案 0 :(得分:17)

NoScript在JavaScript控制台(Ctrl-Shift-J)中记录完整的详细信息,但我最好的猜测是FogBugz链接达到了更高的优先级default ABE SYSTEM rule

# Prevent Internet sites from requesting LAN resources.
# This one guards the local network, like LocalRodeo
# LOCAL is a placeholder which matches all the LAN
# subnets (possibly configurable) and localhost
# Configure more in the about:config, noscript.abe.localExtras option.
Site LOCAL
Accept from LOCAL
Deny

默认to prevent a specific kind of DNS Rebinding攻击中,您的WAN IP也包含在LOCAL中。规则的排序很重要,第一场比赛获胜;因此,将Accept from操作移动到Site LOCAL SYSTEM规则可能有效:

# Allow links on https://SomeCompany.fogbugz.com/ to access internal services.
Site LOCAL
Accept from LOCAL
Accept from https://SomeCompany.fogbugz.com/
Deny
告诫者;您信任来自外部公司(FogBugz)的网页,可以访问您的内部资源。