搜索

[11365] 2017-05-19_利用HSTS嗅探浏览器历史纪录的三个漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2017-05-19_利用HSTS嗅探浏览器历史纪录的三个漏洞 利 用 H S T S 嗅 探 浏 览 器 历 史 纪 录 的 三 个 漏 洞 t o c t t o u   F r e e B u f   2 0 1 7 - 0 5 - 1 9 * 本 文 原 创 作 者 ： t o c t t o u ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 H S T S 是 让 浏 览 器 强 制 使 用 H T T P S 访 问 网 站 的 一 项 安 全 策 略 。 H S T S 的 设 计 初 衷 是 缓 解 中 间 人 攻 击 带 来 的 风 险 。 本 文 主 要 介 绍 H S T S 及 其 他 W e b 功 能 带 来 的 一 些 隐 私 问 题 ， 比 如 如 何 利 用 它 们 来 探 测 浏 览 器 的 用 户 历 史 纪 录 。 作 者 作 者   |   t o c t t o u 一 、 背 景 ： 什 么 是 H S T S H S T S 的 英 文 全 称 是 H T T P   S t r i c t   T r a n s p o r t   S e c u r i t y ， 中 文 译 作 H T T P 严 格 传 输 安 全 。 2 0 1 2 年 1 1 月 I E T F 发 布 R F C   6 7 9 7 ， 在 这 篇 文 档 中 正 式 定 义 了 H S T S 。 H S T S 的 开 启 方 式 是 在 H T T P 响 应 头 中 加 入 S t r i c t - T r a n s p o r t - S e c u r i t y 字 段 。 如 ： S t r i c t - T r a n s p o r t - S e c u r i t y :   m a x - a g e = 3 1 5 3 6 0 0 0         。 这 意 味 着 在 接 下 来 的 3 1 5 3 6 0 0 0 秒 内 （ 1 年 ） ， 当 浏 览 器 需 要 访 问 同 一 个 域 名 时 ， 必 须 使 用 H T T P S ， 并 且 用 户 不 可 以 忽 略 证 书 错 误 警 告 。 使 用 H S T S 避 免 了 一 系 列 的 中 间 人 攻 击 问 题 ， 比 如 H T T P S 剥 离 攻 击   [ 1 ] 、 H T T P S   C o o k i e 注 入 攻 击   [ 2 ] 等 。 设 置 H T T P 响 应 头 的 方 法 虽 然 可 以 规 避 大 量 的 中 间 人 攻 击 ， 但 是 用 户 的 第 一 次 访 问 仍 然 是 不 受 H S T S 保 护 的 。 于 是 诞 生 了 浏 览 器 预 置 H S T S 列 表 。 网 站 站 长 可 以 主 动 向 C h r o m e 团 队 提 交 自 己 的 域 名 。 批 准 后 ， 各 主 流 浏 览 器 厂 商 （ 不 只 是 C h r o m e ） 会 在 编 译 新 版 浏 览 器 时 将 你 的 域 名 硬 编 码 进 内 置 H S T S 列 表 中 。 现 在 已 经 有 越 来 越 多 的 网 站 开 启 了 H S T S ， 比 如 G o o g l e 、 百 度 、 支 付 宝 等 。 根 据 t r u s t w o r t h y i n t e r n e t . o r g   发 布 的 S S L   P u l s e 报 告 显 示 ， 截 至 2 0 1 7 年 5 月 ， 有 1 1 . 8 % 的 网 站 支 持 H S T S   [ 3 ] 。 最 新 版 的 主 流 浏 览 器 也 都 支 持 H S T S ， 比 如 C h r o m e 、 E d g e 、 I E   1 1 、 F i r e f o x 、 O p e r a 、 S a f a r i 等 。 二 、 漏 洞 一 ： 利 用 端 口 号 和 < i m g > 标 签 探 测 历 史 纪 录 上 一 节 所 述 的 都 是 H S T S 好 的 一 方 面 ， 下 面 来 说 H S T S 导 致 的 问 题 。 第 一 个 漏 洞 是 我 和 V l a d   T s y r k l e v i c h 在 2 0 1 4 年 独 立 发 现 的   [ 4 ] [ 5 ] 。 简 单 来 说 ， 如 果 w w w . e x a m p l e . c o m 开 启 了 H S T S ， 如 果 用 户 没 有 访 问 过 它 ， 那 么   h t t p : / / w w w . e x a m p l e . c o m : 4 4 3 / f a v i c o n . i c o   一 定 会 访 问 失 败 。 如 果 访 问 过 ， 那 么 H S T S 会 使 浏 览 器 请 求 h t t p s : / / w w w . e x a m p l e . c o m : 4 4 3 / f a v i c o n . i c o ， 这 样 就 会 成 功 （ 如 果 不 存 在 f a v i c o n . i c o 这 个 图 片 的 话 ， 就 任 选 一 个 这 个 域 名 下 其 他 图 片 地 址 ） 。 所 以 我 们 用 < i m g   s r c = " h t t p : / / w w w . e x a m p l e . c o m : 4 4 3 / f a v i c o n . i c o "   o n e r r o r = " n o t _ v i s i t e d ( ) " o n l o a d = " v i s i t e d ( ) " > ， 如 果 o n e r r o r 被 调 用 就 说 明 没 有 访 问 过 w w w . e x a m p l e . c o m ， 如 果 o n l o a d 被 调 用 就 说 明 访 问 过 。
这 个 方 法 有 一 定 的 限 制 ， 比 如 被 测 试 的 域 名 必 须 要 使 用 H S T S ， 并 且 不 能 在 H S T S 预 置 列 表 中 。 而 且 只 能 判 断 一 个 域 名 是 否 访 问 过 ， 而 无 法 测 试 整 个 U R L 是 否 被 访 问 过 。 这 个 漏 洞 我 报 给 了 C h r o m i u m 团 队 ， 报 告 和 完 整 P o C 可 参 见   [ 4 ] 。 我 的 建 议 是 禁 止 h t t p 协 议 使 用 4 4 3 端 口 。 但 是 由 于 这 样 会 给 W e b S o c k e t 造 成 兼 容 性 问 题 ， 并 且 这 个 漏 洞 影 响 小 ， 所 以 他 们 最 终 决 定 不 修 复 这 个 漏 洞 。 网 站 可 以 把 自 己 的 域 名 提 交 到 H S T S 预 置 列 表 来 规 避 这 个 漏 洞 。 用 户 可 以 通 过 清 空 历 史 纪 录 避 免 这 个 漏 洞 ， 因 为 清 空 历 史 记 录 会 同 时 清 空 动 态 设 定 的 H S T S 记 录 。 三 、 漏 洞 二 ： S n i f f l y   —   利 用 H S T S 和 C S P 探 测 历 史 纪 录 这 个 漏 洞 是 由 雅 虎 的 安 全 工 程 师 Y a n   Z h u 于 2 0 1 5 年 发 现 的 。 她 在 T o o r c o n   2 0 1 5 会 议 上 讲 述 了 这 个 漏 洞 （ 演 讲 视 频 参 见 [ 6 ] ， 幻 灯 片 参 见 [ 7 ] ） ， 并 把 这 个 漏 洞 命 名 为 S n i f f l y 。 F r e e b u f 之 前 也 有 一 篇 文 章 《 S n i f f l y ：   利 用 H S T S 和 C S P 嗅 探 浏 览 器 历 史 记 录 》 [ 8 ] ， 就 是 写 这 个 漏 洞 的 。 这 个 漏 洞 利 用 C S P （ 内 容 安 全 策 略 ） 来 阻 止 h t t p s 协 议 的 图 片 ， 而 同 时 允 许 h t t p 协 议 。 这 个 C S P 是 这 样 设 置 的 ： C o n t e n t - S e c u r i t y - P o l i c y : i m g - s r c   h t t p : / / * 。 这 样 如 果 有 一 个 h t t p 到 h t t p s 的 重 定 向 ， 那 么 这 个 C S P 将 在 这 个 重 定 向 发 生 之 后 ， 阻 止 h t t p s 请 求 ， 并 调 用 o n e r r o r h a n d l e r 。 攻 击 者 可 以 使 用 J a v a S c r i p t 来 测 从 h t t p 请 求 发 出 到 h t t p s 被 阻 止 之 间 的 时 间 间 隔 ， 这 个 时 间 间 隔 就 是 重 定 向 所 需 时 间 。 如 果 这 个 时 间 很 短 （ 小 于 1 0 毫 秒 ） ， 那 么 我 们 可 以 认 为 浏 览 器 没 有 向 服 务 器 发 送 任 何 请 求 ， 也 就 是 说 这 个 重 定 向 来 源 于 H S T S 或 者 是 缓 存 的 3 0 1 重 定 向 。 这 样 我 们 就 知 道 用 户 曾 经 访 问 过 这 个 域 名 。 这 个 漏 洞 很 快 地 在 C h r o m e 中 修 复 了 ， 漏 洞 编 号 是 C V E - 2 0 1 6 - 1 6 1 7 。 修 复 方 法 是 ： 如 果 C S P 中 指 定 了 h t t p : / / * ， 则 它 同 时 允 许 h t t p 和 h t t p s 协 议 。 这 样 就 没 法 用 这 个 方 法 屏 蔽 h t t p 到 h t t p s 的 重 定 向 。 Y a n   Z h u 给 C h r o m e 提 交 的 漏 洞 报 告 和 P o C 可 参 见   [ 9 ] 。 四 、 漏 洞 三 ： 利 用 H S T S 、 C S P 和 端 口 号 探 测 历 史 记 录 这 个 漏 洞 是 我 在 2 0 1 6 年 ， 看 完 漏 洞 二 的 细 节 后 想 出 来 的 绕 过 方 法 。 首 先 我 们 看 G o o g l e 对 漏 洞 二 的 修 复 代 码   [ 1 0 ] ： 补 丁 在 W e b K i t / S o u r c e / c o r e / f r a m e / c s p / C S P S o u r c e . c p p 文 件 中 的 C S P S o u r c e : : s c h e m e M a t c h e s 函 数 中 加 入 了 下 面 4 行 代 码 ：
这 个 代 码 的 意 思 就 是 当 C S P 中 的 协 议 是 h t t p 时 ， u r l 的 协 议 是 h t t p 或 h t t p s 都 能 成 功 匹 配 。 w s 是 W e b S o c k e t 协 议 ， 同 样 C S P 中 指 定 的 w s 协 议 可 以 同 时 匹 配 w s 和 w s s 。 很 显 然 这 个 修 复 只 考 虑 了 U R L 中 的 协 议 部 分 ， 所 以 我 想 到 利 用 漏 洞 一 中 的 技 巧 ， 我 们 在 C S P 中 显 式 指 定 端 口 号 ， 就 绕 过 了 修 复 。 比 如 ， 我 们 设 置 这 个 C S P 策 略 ： m g - s r c   h t t p : / / e x a m p l e . c o m : 8 0 。 漏 洞 二 修 复 之 后 ， 这 个 C S P 会 允 许 h t t p : / / e x a m p l e . c o m : 8 0 和 h t t p s : / / e x a m p l e . c o m : 8 0 ， 但 是 后 一 个 U R L 并 没 有 意 义 ， 因 为 h t t p s 不 用 8 0 端 口 ， 而 真 正 的 h t t p s : / / e x a m p l e . c o m 依 然 被 阻 止 ， 因 为 h t t p s 的 端 口 号 不 匹 配 ” : 8 0 ” 。 有 了 这 个 思 路 之 后 ， 剩 下 的 利 用 方 法 就 和 漏 洞 二 一 样 了 ， 也 是 测 h t t p 到 h t t p s 的 重 定 向 时 间 。 这 个 漏 洞 同 时 存 在 于 C h r o m e 、 F i r e f o x 、 W e b K i t 。 但 E d g e 、 I E 不 存 在 这 个 漏 洞 。 E d g e 是 在 h t t p s 请 求 返 回 之 后 才 调 用 ， 所 以 E d g e 中 无 法 计 算 重 定 向 时 间 。 给 C h r o m e 的 报 告 和 P o C 在 [ 1 1 ] ， 给 M o z i l l a 的 报 告 在 [ 1 2 ] ， 给 W e b K i t 的 报 告 在 [ 1 3 ] 。 他 们 都 早 已 修 复 完 毕 。 漏 洞 编 号 是 C V E - 2 0 1 6 - 5 1 3 7 （ C h r o m e ） 和 C V E - 2 0 1 6 - 9 0 1 7 （ F i r e f o x ） 。 G o o g l e 还 给 了 我 1 0 0 0 美 元 奖 金 。 五 、 总 结 这 篇 文 章 主 要 介 绍 了 什 么 是 H S T S 以 及 和 H S T S 相 关 的 三 个 漏 洞 。 这 三 个 漏 洞 影 响 都 不 大 ， 但 是 我 写 出 来 主 要 为 了 分 享 ， 如 何 灵 活 运 用 端 口 号 这 个 技 巧 来 绕 过 相 关 限 制 。 H S T S 其 实 还 能 当 C o o k i e 用 ， 也 是 H S T S 带 来 的 隐 私 问 题 ， 鉴 于 和 本 文 关 系 不 大 ， 就 不 涉 及 了 ， 想 了 解 的 话 可 参 见 [ 1 4 ] 。 六 、 参 考 文 献 [ 1 ] h t t p s : / / b l a c k h a t . c o m / p r e s e n t a t i o n s / b h - d c - 0 9 / M a r l i n s p i k e / B l a c k H a t - D C - 0 9 - M a r l i n s p i k e - D e f e a t i n g - S S L . p d f [ 2 ] h t t p s : / / w w w . u s e n i x . o r g / s y s t e m / f i l e s / c o n f e r e n c e / u s e n i x s e c u r i t y 1 5 / s e c 1 5 - p a p e r - z h e n g - u p d a t e d . p d f [ 3 ] h t t p s : / / w w w . t r u s t w o r t h y i n t e r n e t . o r g / s s l - p u l s e / [ 4 ] h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / i s s u e s / d e t a i l ? i d = 4 3 6 4 5 1 i o n e r r o r
[ 5 ] h t t p s : / / b u g z i l l a . m o z i l l a . o r g / s h o w _ b u g . c g i ? i d = 1 0 9 0 4 3 3 [ 6 ] h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = k k 2 G k Z v 6 W j s [ 7 ] h t t p s : / / z y a n . s c r i p t s . m i t . e d u / p r e s e n t a t i o n s / t o o r c o n 2 0 1 5 . p d f [ 8 ] h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / 8 7 6 4 1 . h t m l [ 9 ] h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / i s s u e s / d e t a i l ? i d = 5 4 4 7 6 5 [ 1 0 ] h t t p s : / / c h r o m i u m . g o o g l e s o u r c e . c o m / c h r o m i u m / s r c . g i t / + / a b 8 3 0 e d b 2 6 a 1 f 5 6 f 6 6 0 b 0 6 4 5 9 d 7 0 e 1 d 4 8 a 7 0 7 9 7 5 [ 1 1 ] h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / i s s u e s / d e t a i l ? i d = 6 2 5 9 4 5 [ 1 2 ] h t t p s : / / b u g z i l l a . m o z i l l a . o r g / s h o w _ b u g . c g i ? i d = 1 2 8 5 0 0 3 [ 1 3 ] h t t p s : / / b u g s . w e b k i t . o r g / s h o w _ b u g . c g i ? i d = 1 5 9 5 2 0   （ 尚 未 公 开 ） [ 1 4 ] h t t p s : / / n a k e d s e c u r i t y . s o p h o s . c o m / 2 0 1 5 / 0 2 / 0 2 / a n a t o m y - o f - a - b r o w s e r - d i l e m m a - h o w - h s t s - s u p e r c o o k i e s - m a k e - y o u - c h o o s e - b e t w e e n - p r i v a c y - o r - s e c u r i t y / * 本 文 原 创 作 者 ： t o c t t o u ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理