搜索

[11916] 2017-10-21_深入分析IE地址栏内容泄露漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2017-10-21_深入分析IE地址栏内容泄露漏洞 深 入 分 析 I E 地 址 栏 内 容 泄 露 漏 洞 北 其 G g   F r e e B u f   2 0 1 7 - 1 0 - 2 1 前 言 前 言 在 本 文 中 ， 我 们 探 讨 的 对 象 是 在 本 文 中 ， 我 们 探 讨 的 对 象 是 I E 浏 览 器 ， 尽 管 该 浏 览 器 略 显 老 态 ， 但 是 其 用 户 还 是 很 多 的 ， 所 以 不 容 忽 视 。 我 浏 览 器 ， 尽 管 该 浏 览 器 略 显 老 态 ， 但 是 其 用 户 还 是 很 多 的 ， 所 以 不 容 忽 视 。 我 最 近 对 最 近 对 M S R C 感 到 很 欣 喜 ， 因 为 他 们 正 在 将 工 作 重 心 移 至 感 到 很 欣 喜 ， 因 为 他 们 正 在 将 工 作 重 心 移 至 E d g e 浏 览 器 、 设 计 漏 洞 ， 甚 至 提 高 了 漏 洞 赏 金 ， 这 看 浏 览 器 、 设 计 漏 洞 ， 甚 至 提 高 了 漏 洞 赏 金 ， 这 看 起 来 确 实 不 错 。 起 来 确 实 不 错 。 所 有 这 些 都 是 好 消 息 ， 但 我 仍 然 认 为 现 在 就 急 着 抛 弃 I E 还 为 时 尚 早 。 例 如 ， 现 在 所 有 的 I E 用 户 在 z o m b i e 脚 本 漏 洞 ( 已 经 公 开 数 月 ， 但 是 仍 然 尚 未 得 到 修 补 ) 面 前 都 可 能 变 成 僵 尸 程 序 。 千 万 不 要 忽 视 这 个 问 题 的 严 重 性 ， 请 想 象 一 下 攻 击 者 可 以 做 什 么 ： 他 们 可 以 一 直 潜 伏 在 你 的 浏 览 器 中 ， 当 你 浏 览 其 他 网 站 的 时 候 ， 他 们 就 有 足 够 的 时 间 做 一 些 见 不 得 光 的 事 情 ， 比 如 挖 掘 数 字 货 币 等 。 此 外 ， I E 的 阻 止 弹 出 窗 口 功 能 已 经 被 完 全 攻 陷 了 ， 但 是 好 像 并 没 有 引 起 人 们 的 注 意 。 总 之 ， 我 认 为 这 些 漏 洞 应 该 得 到 修 补 ， 或 至 少 给 I E 用 户 一 个 醒 目 的 警 告 ， 比 如 “ 我 们 不 再 支 持 这 个 浏 览 器 ， 请 使 用 M i c r o s o f t   E d g e ” 。 在 我 看 来 ， 微 软 正 在 试 图 摆 脱 I E ， 这 个 毫 无 疑 问 。 不 过 ， 如 果 直 接 告 诉 用 户 他 们 的 旧 版 浏 览 器 没 有 像 E d g e 那 样 得 到 足 够 的 维 护 会 显 得 更 诚 实 一 些 。 根 据 N e t m a r k e t s h a r e 的 统 计 显 示 ， I E 仍 比 E d g e 更 受 欢 迎 ， 两 者 用 户 之 比 是 1 7 %   v s   6 % 。 我 坚 信 在 安 全 方 面 I E 应 该 像 E d g e 那 样 得 到 同 等 的 对 待 ， 否 则 就 应 该 完 全 放 弃 它 。 但 是 不 管 未 来 怎 样 ， 我 们 现 在 先 来 探 讨 一 下 I E 上 的 另 一 个 漏 洞 ： 允 许 攻 击 者 知 道 用 户 将 要 浏 览 的 地 址 。 什 么 ， 这 是 读 心 术 吗 ? 不 ， 当 然 不 是 ， 下 面 让 我 们 来 看 看 I E 是 如 何 让 攻 击 者 做 出 魔 幻 般 的 事 情 的 。 摘 要 摘 要 当 脚 本 在 o b j e c t - h t m l 标 签 内 执 行 时 ， 位 置 对 象 将 获 得 焦 点 并 返 回 主 位 置 ， 而 不 是 它 自 己 的 位 置 。   确 切 地 说 ， 它 将 返 回 写 入 地 址 栏 中 的 文 本 。 如 果 读 者 是 急 性 子 的 话 ， 可 以 先 观 看 视 频 ， 了 解 一 下 攻 击 者 是 如 何 读 取 用 户 输 入 到 I E 地 址 栏 内 的 内 容 的 ! 对 象 和 文 档 模 式 对 象 和 文 档 模 式
对 象 标 签 的 行 为 方 式 取 决 于 d o c u m e n t M o d e 的 渲 染 方 式 。   例 如 ， 如 果 我 们 在 页 面 的 开 头 添 加 兼 容 性 元 标 记 的 话 ， 它 的 外 观 和 行 为 就 像 一 个 i f r a m e ， 但 它 会 认 为 这 是 一 个 顶 层 窗 口 。 在 上 面 的 代 码 中 ， “ o b j . h t m l ” 在 对 象 内 部 进 行 渲 染 ， 并 且 其 内 容 被 放 入 与 i f r a m e 类 似 的 方 框 中 ， 然 而 ， 虽 然 在 窗 口 对 象 与 顶 层 对 象 进 行 比 较 时 返 回 值 为 t r u e ， 但 是 它 并 非 顶 层 窗 口 。 我 们 可 以 看 一 下 在 对 象 标 签 内 执 行 的 代 码 ： 虽 然 它 认 为 w i n d o w   = =   t o p ， 但 是 事 实 并 非 如 此 。 在 I E 上 进 行 测 试 我 们 的 对 象 认 为 它 是 顶 层 窗 口 ， 甚 至 其 他 f r a m e E l e m e n t 之 类 的 成 员 也 总 是 返 回 n u l l — — 这 种 行 为 只 出 现 在 ( I E 的 ) 顶 层 窗 口 中 。 下 面 ， 让 我 们 尝 试 相 同 的 代 码 在 没 有 兼 容 性 标 签 的 情 况 下 会 怎 样 。 这 时 ， 该 对 象 就 能 了 解 它 所 在 的 位 置 了 ， 并 且 其 行 为 类 似 于 i f r a m e 。
在 I E 上 进 行 测 试 本 质 上 ， 该 对 象 在 较 旧 的 文 档 模 式 中 被 渲 染 为 一 个 独 立 的 实 体 ， 但 在 一 个 较 新 的 文 档 模 式 中 将 被 渲 染 为 一 个 i f r a m e 。 无 论 如 何 ， 在 内 部 它 们 都 是 W e b B r o w s e r 控 件 ， 所 以 T r i d e n t 引 擎 会 暴 露 相 同 的 成 员 。 继 承 的 窗 口 成 员 让 我 们 重 新 回 到 较 旧 的 d o c u m e n t M o d e ， 寻 找 一 种 利 用 这 个 混 淆 漏 洞 的 方 法 ， 不 过 事 情 貌 似 并 不 那 么 糟 糕 ， 因 为 跨 域 限 制 仍 然 存 在 ， 而 且 X - F R A M E - O P T I O N S 头 部 的 工 作 效 果 非 常 好 。   有 一 些 成 员 ， 如 w i n d o w . n a m e ， 它 们 是 通 过 对 象 继 承 得 到 的 ( 该 对 象 会 继 承 其 父 对 象 的 名 称 ) ， 不 过 这 也 不 是 太 糟 糕 — — 但 是 某 些 广 告 技 术 会 全 地 使 用 w i n d o w . n a m e 来 跨 i f r a m e 传 递 信 息 ， 这 种 做 法 是 很 危 险 的 。 话 虽 如 此 ， 至 少 有 一 个 继 承 的 对 象 真 的 会 引 起 麻 烦 ： 位 置 。 在 对 象 标 签 内 ， l o c a t i o n . h r e f 将 返 回 主 ( 顶 层 ) 窗 口 的 位 置 。 下 面 的 代 码 将 其 对 象 的 源 指 向 o b j e c t _ l o c a t i o n . h t m l ， 但 是 当 我 们 检 索 它 的 位 置 时 ， 它 返 回 的 是 顶 层 窗 口 。 在 I E 上 进 行 测 试 再 次 重 申 ， 这 个 混 淆 漏 洞 本 身 是 没 有 用 的 ， 因 为 我 们 仍 然 在 同 一 个 域 。 即 使 我 们 可 以 找 到 一 个 顶 层 的 位 置 ， 只 要 我 们 在 同 一 个 域 ， 那 也 没 有 多 大 意 思 。 为 此 ， 我 尝 试 改 变 对 象 的 位 置 ， 但 没 有 成 功 。 如 果 你 想 在 这 个 领 域 进 行 研 究 ， 我 建 议 可 以 更 深 入 一 些 ， 因 为 我 认 为 会 有 更 多 的 可 能 性 。 无 论 如 何 ， 在 尝 试 实 现 U X S S ( 持 久 性 是 现 实 攻 击 中 一 切 的 关 键 ) 时 ， 我 获 得 了 一 个 惊 喜 ： 当 对 象 被 注 入 到 o n b e f o r e u n l o a d 时 ， 我 们 得 到 的 不 再 是 顶 层 窗 口 的 位 置 ， 而 是 浏 览 器 的 将 要 到 达 的 位 置 或 当 前 写 入 地 址 栏 的 内 容 。 换 句 话 说 ， 如 果 我 们 在 用 户 离 开 主 页 面 的 同 时 检 索 对 象 的 l o c a t i o n . h r e f ， 我 们 将 能 够 知 道 她 在 地 址 栏 中 输 入 的 内 容 ， 或
者 如 果 点 击 链 接 ， 我 们 将 会 获 悉 浏 览 器 要 链 接 的 地 址 。 这 里 ， 我 们 只 是 中 断 新 站 点 的 加 载 并 展 示 用 户 的 U R L 。 当 然 ， 如 果 是 攻 击 者 的 话 ， 他 们 会 直 接 回 填 地 址 并 加 载 站 点 ， 并 且 这 一 切 对 于 用 户 来 说 都 是 透 明 的 。 实 际 上 ， 在 用 户 离 开 时 ， 我 们 直 接 执 行 d o c u m e n t . w r i t e 就 行 了 。 并 在 那 个 恰 当 的 时 刻 读 取 位 置 ( o n b e f o r e u n l o a d ) 。 好 了 ， 现 在 我 们 就 能 在 用 户 离 开 时 获 取 对 象 位 置 ， 从 而 确 切 地 知 道 她 在 地 址 栏 中 输 入 的 内 容 。 当 然 ， 它 不 一 定 是 一 个 完 整 的 U R L ， 例 如 ， 如 果 用 户 在 地 址 栏 中 输 入 单 词 ， 它 将 自 动 被 转 换 为 搜 索 查 询 U R L ( I E 默 认 为 B i n g ) ， 这 当 然 可 以 被 完 整 读 取 ! 在 I E 上 进 行 测 试 * 本 文 作 者 ： 安 全 客 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理