Firefox+noscript v.s. systemd-n育- ABE否认

Question

    [ABE] < LOCAL> Deny on {GET http://jessie/icons/openlogo-75.png <<< http://jessie/ - 1}
    SYSTEM rule:
    Site LOCAL
    Accept from LOCAL
    Deny

也就是说，http://jessie上的页面不能加载图像或任何其他子资源。

$ getent ahosts jessie
192.168.122.74 STREAM jessie
192.168.122.74 DGRAM
192.168.122.74 RAW
fe80::b4f5:2ff:feb9:b12f STREAM
fe80::b4f5:2ff:feb9:b12f DGRAM
fe80::b4f5:2ff:feb9:b12f RAW

NoScript版本5.0.5

"jessie“是一个系统-n-产卵容器。它的名称由nss-mymachines解析。为什么会发生这种情况，systemd和NoScript之间的分歧是什么？

Answer 1

论坛上的barbaz建议，如果"jessie“解析为本地地址和非本地地址，则可能会发生这种情况。听起来，NoScript将其解释为类似于"DNS重新绑定攻击“的攻击。

IPv6链接-本地地址(您的fe80...地址)不被视为本地地址。我认为解释是，它会破坏一些网站，这些网站配置错误的DNS：。https://github.com/avian2/noscript/blob/ebc093642cb9645bc18b63fc151d3b00063b97ee/xpi/chrome/content/noscript/DNS.js#L337

我认为可以使用sysctl IPv6在容器中禁用net.ipv6.conf.all.disable_ipv6=1。但我不确定这是一个很好的响应，因为NoScript的IPv6支持是一个限制。

我可以在NoScript中通过在NoScript Options > Advanced >SYSTEM顶部添加以下内容来解决这个问题：

# NoScript default rule chokes when name resolves to both IPv6 LLA
# and IPv4 "private" address.
# https://unix.stackexchange.com/questions/370485/firefoxnoscript-v-s-systemd-nspawn-abe-denials/370486#370486
# Treat nodots domain as (an independent) LAN.
# Useful for nss-mymachines.   I think LLMNR would also be affected.
Site ^https?://[^.]*[:/]
Accept from ^https?://[^.]*[:/]
Deny