மூன்றாம் தரப்பு போர்டல்களுக்கு எதிரான UI-சார்ந்த தன்னியக்கம்

ஒவ்வொரு நிறுவனத்திலும் ஊழியர்கள் தினமும் கைமுறையாக உள்நுழையும் போர்டல்களின் பட்டியல் இருக்கிறது, தன்னியக்கமாக இருக்க வேண்டும் ஆனால் இல்லாத வேலைகளை செய்ய. ஆர்டர் நிலை சரிபார்க்க விற்பனையாளர் போர்டல்கள். ஒழுங்குமுறை சமர்ப்பிப்புகளை தாக்கல் செய்ய அரசு தளங்கள். தகுதியை சரிபார்க்கவும் கோரிக்கை நிலையை சரிபார்க்கவும் காப்பீட்டு கட்டணதாரர் போர்டல்கள். சான்றுக்கான மாநில உரிம வாரியங்கள்.

இந்த போர்டல்களுக்கு APIs இல்லை. அல்லது அவர்களிடம் ஆவணமற்ற, வீத-வரம்பிடப்பட்ட அல்லது அணுகலுக்கு பணம் செலுத்தும் "விருப்பமான கூட்டாளர்களுக்கு" மட்டுமான APIs உள்ளன. தரவு உள்நுழைவு பக்கத்திற்கு பின்னால், HTML-ல் வழங்கப்பட்டு இருக்கிறது, மற்றும் அதை வெளியே கொண்டுவர ஒரே வழி உள்நுழைந்து UI-ஐ வழிகாட்டுவதுதான்.

பாரம்பரிய தன்னியக்கம் உலாவி ஸ்கிரிப்ட்களை பயன்படுத்துகிறது. Selenium, Playwright அல்லது Puppeteer ஸ்கிரிப்ட்கள் உள்நுழைந்து, சரியான பக்கத்திற்கு வழிகாட்டி, CSS தேர்வாளர் அல்லது XPath மூலம் உறுப்புகளை கண்டுபிடித்து, தரவை பிரித்தெடுத்து, வெளியேறுகின்றன. இந்த ஸ்கிரிப்ட்கள் வேலை செய்யும் வரை வேலை செய்கின்றன. போர்டல் மறுவடிவமைப்பு CSS வகுப்பு பெயர்களை மாற்றுகிறது. உள்நுழைவு ஓட்டத்தில் புதிய CAPTCHA சேர்க்கப்படுகிறது. வழிகாட்டல் மெனு பக்க பட்டியிலிருந்து ஹேம்பர்கர் மெனுவிற்கு நகர்கிறது. ஸ்கிரிப்ட் அமைதியாக உடைகிறது.

மாநில மருத்துவ வாரியங்கள் குறிப்பாக கடினமான உதாரணம். ஐம்பது இருக்கின்றன, ஒவ்வொன்றும் வெவ்வேறு வலைத்தளம், வெவ்வேறு தளவமைப்புகள், வெவ்வேறு அங்கீகார முறைகள் மற்றும் வெவ்வேறு தரவு வடிவங்களுடன். அவை எந்த அறிவிப்பும் இல்லாமல் தங்கள் சொந்த அட்டவணையில் மறுவடிவமைக்கின்றன.

Triggerfish இதை எவ்வாறு தீர்க்கிறது

Triggerfish-இன் உலாவி தன்னியக்கம் LLM-அடிப்படையிலான காட்சி வழிகாட்டலுடன் CDP-கட்டுப்படுத்தப்பட்ட Chromium-ஐ இணைக்கிறது. முகவர் பக்கத்தை வழங்கப்பட்ட பிக்சல்கள் மற்றும் அணுகல் படப்பிடிப்புகளாக பார்க்கிறார், DOM மரமாக அல்ல. அது உறுப்புகளை அவை எப்படி தெரிகின்றன மற்றும் என்ன செய்கின்றன என்பதன் அடிப்படையில் அடையாளம் காட்டுகிறது, CSS வகுப்பு பெயர்களால் அல்ல. போர்டல் மறுவடிவமைக்கும்போது, முகவர் தகவமைக்கிறார் ஏனெனில் உள்நுழைவு படிவங்கள் இன்னும் உள்நுழைவு படிவங்களைப் போல தெரிகின்றன.

தேர்வாளர் ஸ்கிரிப்ட்களுக்கு பதிலாக காட்சி வழிகாட்டல்

உலாவி தன்னியக்க கருவிகள் ஏழு செயல்பாடுகள் மூலம் செயல்படுகின்றன: navigate, snapshot, click, type, select, scroll மற்றும் wait. முகவர் URL-க்கு வழிகாட்டுகிறார், வழங்கப்பட்ட பக்கத்தின் படப்பிடிப்பு எடுக்கிறார், அவர் பார்ப்பதை பற்றி தர்க்கிக்கிறார் மற்றும் என்ன நடவடிக்கை எடுக்க வேண்டும் என்று தீர்மானிக்கிறார். பக்க சூழலில் தன்னிச்சையான JavaScript இயக்கும் evaluate கருவி இல்லை. முகவர் பக்கத்துடன் ஒரு மனிதன் செய்வதைப் போல, UI மூலம் தொடர்பு கொள்கிறார், மற்றும் தீங்கு விளைவிக்கும் பக்கத்தால் சுரண்டப்படக்கூடிய குறியீட்டை இயக்க முடியாது.

பகிர்ந்த களப்பகுதி பாதுகாப்பு

உலாவி வழிகாட்டல் வலை பெறும் செயல்பாடுகளின் அதே களப்பகுதி பாதுகாப்பு கட்டமைவை பகிர்கிறது. triggerfish.yaml-ல் ஒரு கட்டமைவு தொகுதி SSRF மறுக்கும் பட்டியல்கள், களப்பகுதி அனுமதிப் பட்டியல்கள், களப்பகுதி மறுக்கும் பட்டியல்கள் மற்றும் களப்பகுதி-வகைப்படுத்தல் வரைபடங்களை வரையறுக்கிறது. முகவர் CONFIDENTIAL-ல் வகைப்படுத்தப்பட்ட விற்பனையாளர் போர்டலுக்கு வழிகாட்டும்போது, அமர்வு taint தானாக CONFIDENTIAL-க்கு அதிகரிக்கிறது.

SSRF மறுக்கும் பட்டியல் கடினமாக குறியிடப்பட்டது மற்றும் மேலெழுத முடியாதது. தனிப்பட்ட IP வரம்புகள், இணைப்பு-உள்ளூர் முகவரிகள் மற்றும் மேகக்கணி மொழிபெயர்ப்பு இறுதிப்புள்ளிகள் எப்போதும் தடுக்கப்படுகின்றன. DNS தீர்மானம் கோரிக்கைக்கு முன்பு சரிபார்க்கப்படுகிறது, DNS மீளிணைப்பு தாக்குதல்களை தடுக்கிறது.

உலாவி சுயவிவர நீர்ப்படி முத்திரை

ஒவ்வொரு முகவரும் தங்கள் சொந்த உலாவி சுயவிவரத்தை பராமரிக்கிறார், இது காலப்போக்கில் போர்டல்களுடன் தொடர்பு கொள்ளும்போது குக்கிகள், உள்ளூர் சேமிப்பு மற்றும் அமர்வு தரவை திரட்டுகிறது. சுயவிவரம் வகைப்படுத்தல் நீர்ப்படி முத்திரையை கொண்டு செல்கிறது. முகவர் CONFIDENTIAL விற்பனையாளர் போர்டலுக்கு உள்நுழைய சுயவிவரத்தை பயன்படுத்தினால், சுயவிவரம் CONFIDENTIAL-ல் நீர்ப்படி முத்திரை செய்யப்படுகிறது. PUBLIC வகைப்படுத்தலில் இயங்கும் அடுத்தடுத்த அமர்வு அந்த சுயவிவரத்தை பயன்படுத்த முடியாது.

சான்றுகள் மேலாண்மை

போர்டல் சான்றுகள் OS keychain (தனிப்பட்ட அடுக்கு) அல்லது நிறுவன vault (நிறுவன அடுக்கு)-ல் சேமிக்கப்படுகின்றன, கட்டமைவு கோப்புகள் அல்லது சூழல் மாறிகளில் ஒருபோதும் இல்லை. SECRET_ACCESS hook ஒவ்வொரு சான்று மீட்டெடுப்பையும் பதிவு செய்கிறது. சான்றுகள் இயக்க நேரத்தில் பணிப்பாய்வு இயந்திரத்தால் தீர்க்கப்பட்டு, தட்டச்சு இடைமுகம் மூலம் உலாவி அமர்வுகளுக்கு செலுத்தப்படுகின்றன.

பொதுவான போர்டல் மாற்றங்களுக்கு நெகிழ்ச்சி

பொதுவான போர்டல் மாற்றங்கள் நிகழும்போது என்ன நடக்கும்:

உள்நுழைவு பக்க மறுவடிவமைப்பு. முகவர் புதிய படப்பிடிப்பு எடுக்கிறார், புதுப்பிக்கப்பட்ட தளவமைப்பை அடையாளம் காட்டுகிறார் மற்றும் காட்சி சூழலிலிருந்து படிவ புலங்களை கண்டுபிடிக்கிறார். போர்டல் முற்றிலும் வேறு அங்கீகார முறைக்கு (SAML, OAuth, வன்பொருள் டோக்கன்) மாறாவிட்டால், எந்த கட்டமைவு மாற்றமும் இல்லாமல் உள்நுழைவு தொடர்ந்து வேலை செய்கிறது.

வழிகாட்டல் மறுகட்டமைப்பு. முகவர் உள்நுழைவுக்கு பிறகு பக்கத்தை படிக்கிறார் மற்றும் URL முறைகளுக்கு பதிலாக இணைப்பு உரை, மெனு லேபல்கள் மற்றும் பக்க தலைப்புகளின் அடிப்படையில் இலக்கு பிரிவுக்கு வழிகாட்டுகிறார்.

புதிய குக்கி ஒப்புதல் பட்டியா. முகவர் பட்டியாவை பார்க்கிறார், ஒப்பு/நிராகரி பொத்தானை அடையாளம் காட்டுகிறார், அதை கிளிக் செய்கிறார் மற்றும் அசல் பணியுடன் தொடர்கிறார்.

CAPTCHA சேர்க்கப்பட்டது. இங்குதான் அணுகுமுறையின் நேர்மையான வரம்புகள் உள்ளன. எளிய படம் CAPTCHAs LLM-இன் பார்வை திறன்களின் அடிப்படையில் தீர்க்கப்படலாம், ஆனால் reCAPTCHA v3 மற்றும் இதே போன்ற நடத்தை பகுப்பாய்வு அமைப்புகள் தன்னியக்க உலாவிகளை தடுக்கலாம். பணிப்பாய்வு அமைதியாக தோல்வியடைவதற்கு பதிலாக இவற்றை மனித தலையீட்டு வரிசைக்கு திருப்பி விடுகிறது.

MFA வழிகாட்டல்கள். போர்டல் முன்பு தேவையில்லாத MFA-ஐ கோர தொடங்கினால், முகவர் எதிர்பாராத பக்கத்தை கண்டறிகிறார், அறிவிப்பு அமைப்பு மூலம் நிலைமையை அறிக்கையிடுகிறார் மற்றும் ஒரு மனிதன் MFA படியை முடிக்கும் வரை பணிப்பாய்வை இடைநிறுத்துகிறார்.

பல போர்டல்களில் தொகுதி செயலாக்கம்

பணிப்பாய்வு இயந்திரத்தின் for வளைய ஆதரவு என்பது ஒரே பணிப்பாய்வு பல போர்டல் இலக்குகளில் iterate செய்யலாம் என்று அர்த்தம். சான்று சரிபார்ப்பு சேவை ஒரே தொகுதி இயக்கத்தில் ஐம்பது மாநில மருத்துவ வாரியங்கள் முழுவதும் உரிம நிலையை சரிபார்க்கும் பணிப்பாய்வை வரையறுக்கலாம்.

நடைமுறையில் இது எப்படி தெரிகிறது

ஒரு சான்றிதழ் அமைப்பு வழங்குனர் சேர்க்கை செயல்முறையின் ஒரு பகுதியாக மாநில மருத்துவ வாரியங்களில் சுகாதார வழங்குனர் உரிமங்களை சரிபார்க்கிறது. Triggerfish உடன், பணிப்பாய்வு முழு சரிபார்ப்பு சுழற்சியை கையாளுகிறது. மாநில வாரியம் தங்கள் போர்டலை மறுவடிவமைக்கும்போது, முகவர் அடுத்த சரிபார்ப்பு முயற்சியில் தகவமைக்கிறார். CAPTCHA தன்னியக்க அணுகலை தடுக்கும்போது, பணிப்பாய்வு அந்த மாநிலத்தை கைமுறை சரிபார்ப்புக்கு கொடியிட்டு மீதமுள்ள தொகுதியை செயலாக்குவதை தொடர்கிறது.