Pastinya!
Penyerang dapat menggunakan skrip berbahaya untuk melakukan beberapa serangan seperti XSS:
Cross-site scripting (XSS) adalah jenis kerentanan keamanan komputer yang biasanya ditemukan dalam aplikasi web yang memungkinkan penyerang jahat untuk menyuntikkan skrip sisi klien ke dalam halaman web yang dilihat oleh pengguna lain ...
Baca lebih lanjut di wikipedia .
Tidak ada skrip yang memberi Anda kekuatan untuk mengontrol semua skrip pada halaman web (atau situs web) dan plugin yang digunakannya seperti flash, java, dll. Anda menambahkan situs tepercaya ke daftar putih dan yang lain tidak diizinkan menjalankan skrip, kecuali Anda membiarkannya (sementara atau permanen).
Sebuah pertanyaan dan jawabannya di situs web no-script ( faq ) dapat memberikan beberapa klarifikasi:
Mengapa saya harus mengizinkan eksekusi JavaScript, Java, Flash, dan plugin hanya untuk situs tepercaya?
JavaScript, Java, dan Flash, bahkan yang merupakan teknologi yang sangat berbeda, memiliki satu kesamaan: mereka mengeksekusi pada kode komputer Anda yang berasal dari situs jarak jauh. Ketiganya menerapkan semacam model kotak pasir, membatasi aktivitas yang dapat dilakukan oleh kode jarak jauh: misalnya, kode kotak pasir tidak boleh membaca / menulis hard disk lokal Anda atau berinteraksi dengan sistem operasi atau aplikasi eksternal yang mendasarinya. Bahkan jika kotak pasir adalah bukti peluru (bukan kasusnya, baca di bawah) dan bahkan jika Anda atau sistem operasi Anda membungkus seluruh browser dengan kotak pasir lain (misalnya IE7 + pada Vista atau Sandboxie), kemampuan hanya menjalankan kode kotak pasir di dalam browser dapat dieksploitasi untuk tujuan jahat, misalnya untuk mencuri informasi penting yang Anda simpan atau masukkan di web (nomor kartu kredit, kredensial email dan sebagainya) atau untuk "menyamar" Anda, mis. dalam transaksi keuangan palsu, meluncurkan serangan "cloud" seperti Cross Site Scripting (XSS) atau CSRF, tanpa perlu keluar dari browser Anda atau mendapatkan hak istimewa lebih tinggi dari halaman web normal. Ini saja merupakan alasan yang cukup untuk memungkinkan skrip di situs tepercaya saja. Selain itu, banyak eksploitasi keamanan ditujukan untuk mencapai "eskalasi hak istimewa", yaitu mengeksploitasi kesalahan implementasi kotak pasir untuk memperoleh hak istimewa yang lebih besar dan melakukan tugas yang tidak menyenangkan seperti menginstal trojan, rootkit, dan keyloggers. Serangan semacam ini dapat menargetkan JavaScript, Java, Flash, dan plugin lainnya juga: Ini saja merupakan alasan yang cukup untuk memungkinkan skrip di situs tepercaya saja. Selain itu, banyak eksploitasi keamanan ditujukan untuk mencapai "eskalasi hak istimewa", yaitu mengeksploitasi kesalahan implementasi kotak pasir untuk memperoleh hak istimewa yang lebih besar dan melakukan tugas yang tidak menyenangkan seperti menginstal trojan, rootkit, dan keyloggers. Serangan semacam ini dapat menargetkan JavaScript, Java, Flash, dan plugin lainnya juga: Ini saja merupakan alasan yang cukup untuk memungkinkan skrip di situs tepercaya saja. Selain itu, banyak eksploitasi keamanan ditujukan untuk mencapai "eskalasi hak istimewa", yaitu mengeksploitasi kesalahan implementasi kotak pasir untuk memperoleh hak istimewa yang lebih besar dan melakukan tugas yang tidak menyenangkan seperti menginstal trojan, rootkit, dan keyloggers. Serangan semacam ini dapat menargetkan JavaScript, Java, Flash, dan plugin lainnya juga:
JavaScript terlihat seperti alat yang sangat berharga bagi orang jahat: sebagian besar kerentanan tetap yang dapat dieksploitasi browser yang ditemukan hingga saat ini tidak efektif jika JavaScript dinonaktifkan. Mungkin alasannya adalah bahwa skrip lebih mudah untuk menguji dan mencari lubang, bahkan jika Anda seorang hacker pemula: semua orang dan saudaranya percaya menjadi programmer JavaScript: P
Java memiliki sejarah yang lebih baik, setidaknya dalam inkarnasi "standar" nya, Sun JVM. Sebaliknya, ada virus yang ditulis untuk Microsoft JVM, seperti ByteVerifier.Trojan. Bagaimanapun, model keamanan Java memungkinkan applet yang telah ditandatangani (applet yang integritas dan asalnya dijamin oleh sertifikat digital) untuk dijalankan dengan hak istimewa lokal, yaitu seperti mereka adalah aplikasi yang diinstal secara reguler. Ini, dikombinasikan dengan fakta bahwa selalu ada pengguna yang, di depan peringatan seperti "Applet ini ditandatangani dengan sertifikat yang buruk / palsu. Anda TIDAK ingin menjalankannya! Sebaliknya, apakah Anda begitu gila untuk mengeksekusinya? [ Tidak pernah!] [Tidak] [Tidak] [Mungkin] ", akan mencari, menemukan, dan menekan tombol" Ya ", menyebabkan beberapa reputasi buruk bahkan untuk Firefox (perhatikan bahwa artikel itu cukup timpang, tetapi seperti yang dapat Anda bayangkan, banyak gema ).
Flash dulu dianggap relatif aman, tetapi karena penggunaannya menjadi begitu luas, cacat keamanan yang parah telah ditemukan pada tingkat yang lebih tinggi. Applet Flash juga telah dieksploitasi untuk meluncurkan serangan XSS terhadap situs tempat mereka dihosting.>
Plugin lain lebih sulit untuk dieksploitasi, karena kebanyakan dari mereka tidak meng-host mesin virtual seperti Java dan Flash, tetapi mereka masih dapat mengekspos lubang seperti buffer overruns yang dapat mengeksekusi kode arbitrer ketika diberi makan dengan konten yang dibuat khusus. Baru-baru ini kita telah melihat beberapa kerentanan plugin ini, yang mempengaruhi Acrobat Reader, Quicktime, RealPlayer dan bantuan multimedia lainnya.
Harap perhatikan bahwa tidak satu pun dari teknologi yang disebutkan di atas biasanya (95% dari waktu) dipengaruhi oleh masalah yang dapat dieksploitasi yang diketahui secara publik dan masih belum ditambal, tetapi intinya NoScript hanyalah ini: mencegah eksploitasi lubang keamanan yang bahkan belum dikenal, karena ketika ditemukan mungkin sudah terlambat;) Cara yang paling efektif adalah menonaktifkan potensi ancaman di situs yang tidak dipercaya.