venomius: Еще вопрос, Ace Stream утверждает, что программа безвредная. а виноват только магик плеер, я не устанавливал саму программу, но в опере установил плагин магик плеер, и пробовал получить замену рекламы, посещая сайты, у меня не получилось, все правильно транслировалось.
А у меня стоит магик плеер в Firefox но не стоит Ace Stream, а также стоит обновленный Касперский, но при этом никаких предупреждений у меня не высвечивается, а реклама по прежнему подменяется!
MStern: Сделал во всех вариантах, в результате исправление второй ошибки пофиксило 112 ошибок, возникающих при исправлении первой и выдало все теже 4 ошибки:
Refused to load the font 'data:application/x-font-woff;charset=utf-8;base64,d09GRgABAAAAAFk8AA4AAAAAk…+rr9vzFf+/FPdR3EdxH8V9FHdR3EVxF8VdFHdRqmrImBHjh4+eMHbk3xoQhjkAAAFTtF6HAAA=' because it violates the following Content Security Policy directive: "font-src 'self' http://fonts.gstatic.com:*".
Refused to load the stylesheet 'http://fonts.googleapis.com/css?family=Open+Sans%3A300italic%2C400italic%2C…300%2C400%2C600&subset=latin%2Clatin-ext%2Ccyrillic%2Ccyrillic-ext&ver=4.0' because it violates the following Content Security Policy directive: "style-src 'self' 'unsafe-inline'".
Refused to load the font 'http://fonts.gstatic.com/s/opensans/v10/PRmiXeptR36kaC0GEAetxlG2YASMDG4K4_XuakzasE8.woff2' because it violates the following Content Security Policy directive: "font-src 'self'".
Решение: font-src 'self' fonts.gstatic.com;
Если не поможет, то можно поставить маску на порт и указать протокол:
Как видите, ни у кого из них не получилось избавить от директив 'unsafe-inline' 'unsafe-eval'. Конечно эффективность CSP с этими директивами понижается, но не на столько чтобы отказаться от идеи. Сомневаюсь что разработчики вышеуказанных систем глупы.
Деймос: Так что нужно придумать лекарство через Content-Security-Policy или каким нибудь другим способом. Тем более подвижки есть...
Проблема лишь в том, что CSP спасает лишь немного. Например, у меня достаточно много подключенных сервисом (Яндекс.Карты, Гугл.API, Директ, плагины соц. сетей, возможность добавления видео и многое другое), и отключить директивы 'unsafe-inline' 'unsafe-eval' нереально, так как эти сервисы перестают работать. А при включенных директивах эффективность CSP падает.
По делу... по моей статистике ежедневно CSP блокирует порядка 5 000 попыток встраивания, но при этом переходов на "левые сайты" стало где-то всего процентов на 20-30 меньше. Так что, CSP в принципе помогает, но не для всех сайтов ее можно настроить идеально.
Плагины - TS Magic Player и www.acestream.org/ru/ это далеко не полный список. Судя по блокируемым сайтам, подобных плагинов десятки, а то и сотни. Эту проблему можно решить быстро - запретить плагины в браузерах (или как-то сильно их ограничить в правах), но никто этого делать не будет.
И на последок... наши потери настолько незаметны по сравнению с потерями того же Вконтакте, Яндекса, Ютуба, Гугла но при этом, они (как минимум Яндекс и Гугл) никак не хотят решать эту проблему, хотя, по сути, два бразуера им подотчетно. Да и влияния у этих компаний гораздо больше. Поддержка CSP подключена только у twitter, facebook, Яндекс.Почты. Причем, они также не смогли избавить от директив 'unsafe-inline' 'unsafe-eval'
Как мне кажется, CSP - это как из пушки по воробьям... но пока у нас других средств воздействия нет.
Деймос, попробуйте проанализировать ответы CSP и добавлять в ваш список исключений CSP необходимые сайты. Вот тут писали про анализатор: /ru/forum/comment/13150813
nailek: а при поиске, например, по запросу купить квартиру и т.д., чтобы реклама оторажалсь : https://www.google.ru/ - вредоносный код срабатывает у гугла?
Отображается и реклама гугла и добавляется еще рекламный блок от плеера.
---------- Добавлено 27.09.2014 в 12:06 ----------
Кстати, от Torrent Stream Magic Player технология Content Security Policy спасает на отлично. Своя реклама при этом тоже отображается корректно.
НО, после включения Content Security Policy в статистике по-прежнему много переходов на сайты, ссылки на которые отсутствуют на моем сайте и отсутствуют и в Директе. Но при этом у меня все-же включены директивы 'unsafe-inline' 'unsafe-eval'.
За сегодня уже заблокировано 5500 попыток встраивания. Пока лидируют следующие сайты:
nailek: Думаю, проще всех будет тем, у кого сайты работают через https://*.*:443 Или это тоже не спасёт?
Проверил. Эта зараза не обходит и сайты на https://
---------- Добавлено 27.09.2014 в 11:44 ----------
nailek: Посмотрите, через какую биржу тизеров эти рекламы откручиваются. По utm меткам вчера замечал, что сливают на KADAM.
А может не только они принимают такой траф.
psolovev: Поставил этот скрипт себе на тестовый сайт. Посмотрите, выскакивает ли реклама с этим плеером http://free-math.ru/
Проверил. Реклама вставленная плеером Torrent Stream Magic Player не отображается, но при этом реклама AdSense тоже не отображается (вместо ее - пустые места)!
Еще вопрос, Ace Stream утверждает, что программа безвредная. а виноват только магик плеер, я не устанавливал саму программу, но в опере установил плагин магик плеер, и пробовал получить замену рекламы, посещая сайты, у меня не получилось, все правильно транслировалось.
А у меня стоит магик плеер в Firefox но не стоит Ace Stream, а также стоит обновленный Касперский, но при этом никаких предупреждений у меня не высвечивается, а реклама по прежнему подменяется!
Сделал во всех вариантах, в результате исправление второй ошибки пофиксило 112 ошибок, возникающих при исправлении первой и выдало все теже 4 ошибки:
Измените:
font-src 'self' http://fonts.gstatic.com:*
На:
font-src 'self' data: http://fonts.gstatic.com:*
Должно помочь...
Стоит именно это, но все равно показывает ошибку
Уточните, какая точно ошибка высвечивается, при использовании конструкции
img-src 'self' data: http://yastatic.net:*;
У меня также стоит поиск от Яндекс - проблем нет.
Уже пытался так делать, выдало 112 ошибок
У вас два разных типа ошибок.
Первая:
Решение: style-src 'self' 'unsafe-inline' fonts.googleapis.com;
Если не поможет, то можно поставить маску на порт и указать протокол:
Решение: style-src 'self' 'unsafe-inline' http://fonts.googleapis.com:*;
Вторая:
Решение: font-src 'self' fonts.gstatic.com;
Если не поможет, то можно поставить маску на порт и указать протокол:
Решение: font-src 'self' http://fonts.gstatic.com:*;
Смысл в этом скрипте если там разрешены 'unsafe-inline' 'unsafe-eval' ?
Процитирую вам настройки CSP ведущих сайтов:
https://twitter.com/
https://www.facebook.com/
https://mail.yandex.ru/
Как видите, ни у кого из них не получилось избавить от директив 'unsafe-inline' 'unsafe-eval'. Конечно эффективность CSP с этими директивами понижается, но не на столько чтобы отказаться от идеи. Сомневаюсь что разработчики вышеуказанных систем глупы.
Так что нужно придумать лекарство через Content-Security-Policy или каким нибудь другим способом. Тем более подвижки есть...
Проблема лишь в том, что CSP спасает лишь немного. Например, у меня достаточно много подключенных сервисом (Яндекс.Карты, Гугл.API, Директ, плагины соц. сетей, возможность добавления видео и многое другое), и отключить директивы 'unsafe-inline' 'unsafe-eval' нереально, так как эти сервисы перестают работать. А при включенных директивах эффективность CSP падает.
По делу... по моей статистике ежедневно CSP блокирует порядка 5 000 попыток встраивания, но при этом переходов на "левые сайты" стало где-то всего процентов на 20-30 меньше. Так что, CSP в принципе помогает, но не для всех сайтов ее можно настроить идеально.
Плагины - TS Magic Player и www.acestream.org/ru/ это далеко не полный список. Судя по блокируемым сайтам, подобных плагинов десятки, а то и сотни. Эту проблему можно решить быстро - запретить плагины в браузерах (или как-то сильно их ограничить в правах), но никто этого делать не будет.
И на последок... наши потери настолько незаметны по сравнению с потерями того же Вконтакте, Яндекса, Ютуба, Гугла но при этом, они (как минимум Яндекс и Гугл) никак не хотят решать эту проблему, хотя, по сути, два бразуера им подотчетно. Да и влияния у этих компаний гораздо больше. Поддержка CSP подключена только у twitter, facebook, Яндекс.Почты. Причем, они также не смогли избавить от директив 'unsafe-inline' 'unsafe-eval'
Как мне кажется, CSP - это как из пушки по воробьям... но пока у нас других средств воздействия нет.
Деймос, попробуйте проанализировать ответы CSP и добавлять в ваш список исключений CSP необходимые сайты. Вот тут писали про анализатор: /ru/forum/comment/13150813
а при поиске, например, по запросу купить квартиру и т.д., чтобы реклама оторажалсь : https://www.google.ru/ - вредоносный код срабатывает у гугла?
Отображается и реклама гугла и добавляется еще рекламный блок от плеера.
Скриншот: http://easycaptures.com/fs/uploaded/870/0900387501.png
У Яндекса примерно та же ситуация: http://easycaptures.com/fs/uploaded/870/8857428852.png
---------- Добавлено 27.09.2014 в 12:06 ----------
Кстати, от Torrent Stream Magic Player технология Content Security Policy спасает на отлично. Своя реклама при этом тоже отображается корректно.
НО, после включения Content Security Policy в статистике по-прежнему много переходов на сайты, ссылки на которые отсутствуют на моем сайте и отсутствуют и в Директе. Но при этом у меня все-же включены директивы 'unsafe-inline' 'unsafe-eval'.
За сегодня уже заблокировано 5500 попыток встраивания. Пока лидируют следующие сайты:
http://www.superfish.com
http://arteta.ru
http://api.cpatext.ru
http://retargetpro.net
http://screentoolkit.com
http://api.jollywallet.com
http://storegid.com
Думаю, проще всех будет тем, у кого сайты работают через https://*.*:443
Или это тоже не спасёт?
Проверил. Эта зараза не обходит и сайты на https://
---------- Добавлено 27.09.2014 в 11:44 ----------
Посмотрите, через какую биржу тизеров эти рекламы откручиваются. По utm меткам вчера замечал, что сливают на KADAM.
А может не только они принимают такой траф.
Вот ссылка баннера (если вы о ней):
Поставил этот скрипт себе на тестовый сайт. Посмотрите, выскакивает ли реклама с этим плеером
http://free-math.ru/
Проверил. Реклама вставленная плеером Torrent Stream Magic Player не отображается, но при этом реклама AdSense тоже не отображается (вместо ее - пустые места)!
Скриншот: http://easycaptures.com/fs/uploaded/870/3618495015.png
А вот как выглядят сайты при просмотре браузером с плеером Torrent Stream Magic Player:
http://easycaptures.com/fs/uploaded/870/9422060584.jpg
http://easycaptures.com/fs/uploaded/870/8138259007.jpg
http://easycaptures.com/fs/uploaded/870/0738255298.jpg
http://easycaptures.com/fs/uploaded/870/0796473761.jpg
http://easycaptures.com/fs/uploaded/870/7443113167.jpg
http://easycaptures.com/fs/uploaded/870/1227272841.jpg
и т.д.