محققین: کھیل کمزوروں کا استحصال کرنے کے لئے بھاپ یو آر ایل پروٹوکول کے ساتھ زیادتی کی جا سکتی ہے.

حملہ آوروں کو براؤزر اور دیگر ایپلی کیشنز کو بھاپ سے ہٹانے میں مدد مل سکتی ہے: // پروٹوکول یو آر ایل پلیٹ فارم کے ذریعے نصب اسٹیم کلائنٹ یا کھیلوں میں سنگین خطرات کا سامنا کرنے کے لۓ، ابتدائی طور پر خطرے کی خرابی کی تحقیق اور کنسلٹنسی فرم ریولن.

بھاپ ایک مقبول ڈیجیٹل ڈویژن اور کھیلوں کے لئے ڈیجیٹل حقوق مینجمنٹ پلیٹ فارم ہے، اور اس مہینے کے پہلے سے دوسرے سافٹ ویئر کی مصنوعات. والو کارپوریشن کے مطابق، اس کمپنی کو پلیٹ فارم تیار اور چلاتا ہے، بھاپ 2،000 سے زائد عنوانات پیش کرتا ہے اور 40 ملین سے زائد فعال اکاؤنٹس ہیں.

بھاپ کلائنٹ ونڈوز، میک OS X اور لینکس پر چل سکتا ہے، اگرچہ بیٹا ورژن صرف ماضی میں او ایس.

[مزید پڑھنے: آپ کے ونڈوز پی سی سے میلویئر کو کیسے ہٹا دیں]

جب بھاپ کلائنٹ کسی سیسټم پر نصب ہوجائے تو، خود کو بھاپ: // URL پروٹوکول ہینڈلر کے طور پر رجسٹر کیا جاتا ہے. اس کا مطلب یہ ہے کہ ہر بار کسی صارف کو ایک براؤزر یا کسی مختلف درخواست میں کسی بھی بھاپ: // یو آر ایل پر کلک کرتا ہے، یو آر ایل بھاپ کلائنٹ پر عملدرآمد کے لئے منظور ہوتا ہے.

بھاپ: // یو آر ایل انسٹال کرنے کے لئے بھاپ پروٹوکول کی ترتیبات یا کھیلوں کو انسٹال کریں، کھیلوں کو انسٹال کریں، کھیلوں کو اپ ڈیٹ کریں، مخصوص پیرامیٹرز، بیک اپ کی فائلوں کے ساتھ کھیل شروع کریں یا دیگر معاون اقدامات انجام دیں.

حملہ آور صارفین کو بھاپ کلائنٹ میں خطرات سے فائدہ اٹھانے یا صارفین کو دھوکہ دہی سے کھولنے میں چراغ کرکے نظام پر نصب بھاپ کھیلوں کو دور کرنے سے روک سکتا ہے. تیار شدہ بھاپ: // یو آر ایل، ریولن سیکورٹی محققین اور بانی لوگی ایوریما اور ڈونٹا فرنٹ نے پیر کے روز شائع تحقیقی کاغذ میں کہا.

مسئلہ یہ ہے کہ کچھ براؤزر اور ایپلی کیشنز خود بخود بھاپ پاس کر سکتے ہیں: محققین نے کہا، صارفین سے تصدیق. دوسرے براؤزر صارف کی توثیق کی درخواست کرتے ہیں، لیکن مکمل یو آر ایل نہیں ڈسپلے یا ایسے یو آر ایل کو عملدرآمد کرنے کی اجازت دینے کے خطرات کے بارے میں خبردار کریں.

ریولین محققین، انٹرنیٹ ایکسپلورر 9، گوگل کروم اور اوپیرا ڈسپلے کی طرف سے پیش کردہ ٹیسٹ کے مطابق اور مکمل یا جزوی بھاپ: // URL کو عملدرآمد کے لئے بھاپ کلائنٹ میں منتقل کرنے سے پہلے. فائٹر فاکس صارف کی توثیق کی درخواست کرتا ہے، لیکن URL کو ظاہر نہیں کرتا اور کوئی انتباہ نہیں کرتا ہے، جبکہ سفاری خود بخود صارف کے توثیق کے بغیر بھاپ: // یو آر ایل کو خود کار طریقے سے چلاتا ہے.

"تمام براؤزر جو بیرونی URL ہینڈلرز کو براہ راست انتباہ کئے بغیر عملدرآمد کرتے ہیں. اور موزیلا انجن (جیسے فائر فاکس اور SeaMonkey کی بنیاد پر) پر مبنی لوگ خاموش بھاپ براؤزر پروٹوکول کال کرنے کے لئے ایک بہترین ویکٹر ہیں، "محققین نے کہا. "انٹرنیٹ کے ایکسپلورر اور اوپیرا جیسے براؤزرز کے علاوہ اس کے علاوہ، یو آر ایل کے ڈوڈی حصہ کو انتباہ پیغام میں دکھایا جا سکتا ہے کہ وہ بھاپ: // یو آر ایل خود کار طریقے سے کئی جگہوں کو شامل کرکے چھپا سکتے ہیں.

صارفین کو دستی طور پر چوری کرنے کے علاوہ گلگت بھاپ پر کلک کریں: // یو آر ایل پر، حملہ آوروں کو اس طرح کے یو آر ایل میں منگل کے روز منگل کو ای میل کے ذریعہ براؤزرز کو ری ڈائریکٹ کرنے کے لئے بھری ہوئی جاوا اسکرپٹ کوڈ کا استعمال کر سکتا ہے.

بھاپ کے لئے صارف کی توثیق کی ضرورت ہے جو براؤزر: // یو آر ایل کو عام طور پر ڈیفالٹ کی ضرورت ہوتی ہے. اوریماما نے کہا، اس رویے کو تبدیل کرنے کے لۓ صارفین کو فراہم کرنے اور اس طرح کے بھاپ کلائنٹ کے ذریعے خود بخود یو آر ایل کو انجام دیا ہے. "یہ بہت ممکن ہے کہ بہت سے محفلین پہلے سے ہی بھاپ ہیں: // براہ راست براؤزر میں روابط مرتب کرنے کے لئے ہر وقت ان کی توثیق کرنے کے پریشان ہونے سے بچنے کے لئے."

ReVuln کی طرف سے پیدا ثبوت کے تصور ویڈیو سے ایک سکرین پر قبضہ ہے کہ پتہ چلتا ہے کہ حملہ آور براؤزر اور دیگر ایپلی کیشن کو کیسے چلانے کے طریقے سے حملہ کر سکتے ہیں: // پروٹوکول یو آر ایل

محققین نے ایک ویڈیو جاری کیا جس میں وہ کس طرح بھاپ کا مظاہرہ کرتے ہیں: // یو آر ایل دور دراز سے کچھ خطرات کا استحصال کرنے کے لئے استعمال کیا جا سکتا ہے جو وہ بھاپ کلائنٹ میں پایا جاتا ہے. اور مقبول کھیل.

مثال کے طور پر، بھاپ پروٹوکول کا "ریٹرو انسٹال" کمانڈ کسی خراب شدہ TGA سپلیش تصویر فائل کو لوڈ کرنے کے لئے استعمال کیا جا سکتا ہے جو اسٹیم کلائنٹ میں اس کے عمل کے تناظر میں خرابی کوڈ کو انجام دینے کے لئے بھاپ کلائنٹ میں خطرے کا باعث بنتا ہے.

ایک مختلف مثال میں، بھاپ: // یو آر ایل ونڈوز اسٹارٹ اپ فولڈر کے اندر حملہ آور کنٹرول والے مواد کے ساتھ.bat فائل کو لکھنے کے لئے والو کے ذریعہ گیم انجن میں پایا جائز جائزوں کو عمل کرنے کے لئے استعمال کیا جا سکتا ہے. ونڈوز اسٹارٹ ڈائرکٹری میں موجود فائلوں کو خود کار طور پر لاگو کیا جاتا ہے جب صارف لاگ ان ہوتے ہیں.

نصف زندگی، انسداد ہڑتال اور ٹیم کے قلعہ سمیت کئی مقبول کھیلوں میں استعمال کیا جاتا ہے جس میں لاکھوں کھلاڑی ہیں.

غیر حقیقی نامی ایک اور مقبول کھیل انجن ریموٹ WebDAV یا SMB مشترکہ ڈائریکٹریز سے کمانڈ لائن پیرامیٹرز کے ذریعے فائلوں کی لوڈنگ کی حمایت کرتا ہے. ریوول بھاپ: // یو آر ایل کسی ایسے مقام سے بدسلوکی فائل کو لوڈ کرنے کے لئے استعمال کیا جا سکتا ہے جو ریورس کے محققین کو غیر فعال کرنے کے لئے کھیل انجن میں پایا جانے والے بہت سے انوزر میں زیادہ سے زیادہ نقصان دہ افراد میں سے ایک کا استحصال کرتی ہے.

آٹو اپ ڈیٹ کچھ کھیلوں میں پایا جاتا ہے جیسے APB دوبارہ لوڈ یا مائکرو وولٹس بھی بھاپ: // یو آر ایل کے ذریعہ ڈسک پر حملہ آور کنٹرول والے مواد کے ساتھ فائلوں کو بنانے کے لئے کے ساتھ زیادتی کی جاسکتی ہیں.

خود کو صارفین کی حفاظت کے لۓ بھاپ: // URL پروٹوکول کو غیر فعال کر سکتے ہیں. دستی طور پر یا ایک خاص ایپلیکیشن کے ساتھ ہینڈلر، یا براؤزر استعمال کرسکتا ہے جو خود کار طریقے سے بھاپ نہیں کرتا ہے: // یو آر ایل. "نیچے کا سامنا یہ ہے کہ جو محفل ان سروروں کو مقامی طور پر (شارٹ کٹس) یا آن لائن (ویب براؤزر) کا استعمال کرتے ہیں سرور میں شامل ہونے کے لئے یا اس پروٹوکول کے دیگر خصوصیات کا استعمال کرتے ہیں انہیں استعمال کرنے میں ناکام رہے گا."

کیونکہ سفاری براؤزروں میں سے ایک ہے خود کار طریقے سے بھاپ چلاتا ہے: // یو آر ایل، میک OS X صارفین، جو براؤزر کے صارف کی بنیاد کی اکثریت کی نمائندگی کرتا ہے، اس طرح کے حملوں سے زیادہ بے نقاب ہوسکتی ہے. اوریماما نے کہا کہ "میک OS بھاپ پر استعمال کردہ ثانوی پلیٹ فارم ہے اور اس پلیٹ فارم کے لئے بہت سے کھیل دستیاب ہیں تاکہ اس کے وسیع صارف کی بنیاد ہو."

"ہماری رائے میں والو کو کمانڈ لائن کے پیرامیٹرز کو کھیلوں کو ختم کرنا لازمی ہے کیونکہ یہ بہت خطرناک ہے اور وہ کنٹرول نہیں کرسکتے ہیں کہ یہ تیسری جماعتوں کے سافٹ ویئر خراب شدہ پیرامیٹرز کے ساتھ کس طرح کام کرسکتے ہیں. "

والو نے فوری طور پر تبصرہ کیلئے درخواست واپس نہیں کی.

اس ماہ کے آغاز سے قبل والو نے منتخب غیر بھاپ کے ذریعے گیمنگ سافٹ ویئر کے عنوانات. آوریما نے کہا کہ اس طرح کے ایپلی کیشنز میں پایا جا سکتا ہے: // یو آر ایل کے ذریعہ استحصال بھی ہوسکتا ہے.

"حالیہ مہینوں میں والو نے بھاپ پلیٹ فارم میں لینکس کے بھاپ کے بیٹا ورژن کو لانچ کرنے میں بہت سرمایہ کاری کی. وہ ووٹ دے سکتے ہیں جو وہ بھاپ پر دستیاب دیکھنا چاہتے ہیں، سافٹ ویئر سیکشن کو شامل کرتے ہیں، مزید کھیلوں کو شامل کرتے ہیں اور کچھ محدود وقت، ٹائٹس سے مفت ٹائٹس کے کھیلوں اور بہت کچھ کے لئے دستیاب کھیلوں پر روشنی ڈالتے ہیں. " "اب اس مقابلے میں ان مسائل کو نوٹس کرنے کے لئے کوئی بہتر لمحہ نہیں تھا."