Может ли скрипт Firefox украсть мои файлы?

Question

Я использую Xubuntu 18.04, и Firefox я использую так: я скачал и распаковал Firefox в своем домашнем каталоге; тогда я "chmod aw firefox", чтобы ничто в этом каталоге не могло быть изменено.

Вчера, когда я искал, я случайно нажал на ссылку, потому что моя мышь наткнулась на книгу, и ссылка привела меня на странный рекламный сайт. Были некоторые всплывающие окна, которые я закрыл. Через некоторое время я слышу, что мой резервный внешний USB-накопитель начал вращаться, и после того, как я вышел из системы вчера и снова вошел в систему сегодня, я обнаружил, что значок на рабочем столе был переупорядочен.

Мой вопрос: в Firefox Quantum 63.0.1, просто посещая сайт, может ли сайт автоматически сканировать мой компьютер и украсть мои файлы?

Благодарю.

Answer 1

Это не должно быть возможно в чистом HTML без пользовательского интерфейса, такого как удаление файла в <input> или нажатие кнопки загрузки.

Однако я бы не сказал, что злонамеренный сайт не может замаскировать свой пользовательский интерфейс так, чтобы пользователь нажал на такую кнопку, не понимая, что стоит за этим.

Для WebExtensions предполагается, что они помещаются в мешки без доступа по умолчанию к файловой системе, то есть без каких-либо действий пользователя, запускающих это действие. Вы можете прочитать проект интерфейса файловой системы WebExtensions в статье WebExtensions/Filesystem.

Браузер может отображать диск с URL-адресом следующим образом: file:///// . Однако в file: protocol нет домена, поэтому с такими URL-адресами не могут работать все виды вещей, например XMLHttpRequest , document.domain и т.д., Поэтому эти URL-адреса не являются уязвимыми из-за принудительной политики "одного домена".

Я бы сказал, что Firefox достаточно защищен от такой загрузки / кражи, но не могу с полной уверенностью сказать, что в этой области не существует никаких подвигов безопасности. Никто на самом деле не может.