Chrome浏览器插件Adblock for YouTube被曝高危漏洞

Chrome商店打工人必备插件，竟是个“潜伏间谍”？

先说结论：如果你装了一款名叫Adblock for YouTube的广告拦截插件，现在最好立刻检查一下——它很可能是你浏览器中埋得最深的那颗雷。

安全公司Island最近盯上了这款安装量超过1100万的插件，发现其存在巨大安全隐患。理论上讲，黑客完全可能借助它的服务器端配置，在用户的浏览器中执行任意Ja vaScript代码。这意味着什么？意味着你的敏感数据可能被窃取，账号被冒用，甚至更严重的后果，都不再是危言耸听。

问题的根子出在哪儿？
这款插件本来的任务很简单：屏蔽YouTube上的讨厌广告。但关键bug在于，它在执行逻辑时，并没有严格校验当前访问的域名到底属不属于youtube.com。换句话说，黑客只需在任意网址中故意嵌入“youtube.com”这个字符串——比如notyoutube.example.com/search?q=youtube.com——虽然这页面跟YouTube半毛钱关系没有，插件却照样可能被触发运行。

更让人捏把汗的是第二点：插件内部集成了一套可由服务器端动态下发配置的Ja vaScript代码库。也就是说，如果黑客能拿下它的服务器配置，或者服务器本身遭到入侵，就可以借助这套机制，向用户的浏览器注入并执行任意代码。广告拦截类插件的系统权限本身就高于普通扩展，这就好比给盗贼递了一把万能钥匙——风险等级直接拉满。

有意思的是，目前插件开发商AdBlock还闷声不响。不过面对外媒The Hacker News的追问，公司创始人终于松了口，表示“团队已经开始着手修复”。接下来会为插件增加对YouTube最新域名的严格校验，同时调整服务器端配置机制，确保未来不能再通过远程配置向客户端注入可执行代码。

不得不提醒一句：广告拦截器持有“特权”身份，远比普通插件危险。如果你真的需要这类工具，尽量选那些信誉明确、更新活跃、经过长期验证的产品。同时定期检查扩展权限范围——来源不明、功能异常复杂的插件，还是敬而远之吧。毕竟安全这东西，真等到出了事再后悔，可就晚了。