Начало щедрот для MyWallet инъекции использовать (5BTC быть стоит пока).

Exploit описание:

Сценарий контента используется My Wallet проверки работает в document_idle состоянии, когда сценарий теги документа уже выполняются.

если он используется run_at: document_end, он будет иметь возможность поймать удаленный тег сценария, но не встраивать JavaScript.

если он используется run_at: document_start, не существует даже DOM построен, так что вы не имеете ничего инспектировать, хотя вы могли бы иметь шанс зацепиться рано и проверить DOM, как он загружает. Неуверенный, если это возможно, чтобы достичь надежности здесь, но, конечно, не сделано клетчатой ​​прямо сейчас.

Короче говоря, проверка DOM после загрузки труднее, чем наивной реализации, потому что когда-то он загружает, код, содержащийся может видоизменяться (просто SetTimeout и удалить тег сценария).

Обратите внимание, что это только один из необеспеченных требований MyWallet по безопасности, есть гораздо больше 🙂