搜索

[11163] 2017-03-24_LastPass密码管理器再曝严重漏洞，基于浏览器的密码管理器还能用吗？

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2017-03-24_LastPass密码管理器再曝严重漏洞，基于浏览器的密码管理器还能用吗？ L a s t P a s s 密 码 管 理 器 再 曝 严 重 漏 洞 ， 基 于 浏 览 器 的 密 码 管 理 器 还 能 用 吗 ？ 米 雪 儿   F r e e B u f   2 0 1 7 - 0 3 - 2 4 没 有 使 用 密 码 软 件 前 ， 大 家 容 易 忘 记 密 码 ； 使 用 密 码 软 件 后 ， 大 家 没 有 使 用 密 码 软 件 前 ， 大 家 容 易 忘 记 密 码 ； 使 用 密 码 软 件 后 ， 大 家 “ 无 奈 地 无 奈 地 ” 泄 露 了 所 有 密 码 。 泄 露 了 所 有 密 码 。 L a s t P a s s ， 最 受 欢 迎 的 密 码 ， 最 受 欢 迎 的 密 码 管 理 软 件 之 一 ， 近 日 再 次 爆 出 安 全 漏 洞 。 安 全 人 员 发 现 在 管 理 软 件 之 一 ， 近 日 再 次 爆 出 安 全 漏 洞 。 安 全 人 员 发 现 在   L a s t P a s s   C h r o m e   和 和   F i r e f o x   4 . 1 . 4 2   版 本 插 件 中 存 在 三 个 漏 洞 ， 可 版 本 插 件 中 存 在 三 个 漏 洞 ， 可 能 会 导 致 用 户 在 使 用 该 组 件 的 过 程 中 泄 露 密 码 。 能 会 导 致 用 户 在 使 用 该 组 件 的 过 程 中 泄 露 密 码 。 这 几 个 漏 洞 都 是 谷 歌 P r o j e c t   Z e r o 团 队 的 安 全 研 究 人 员 T a v i s   O r m a n d y 发 现 的 。 其 中 一 个 漏 洞 影 响 到 L a s t P a s s 的 C h r o m e 扩 展 ， 另 外 两 个 则 是 针 对 F i r e f o x 的 。 O r m a n d y 称 该 扩 展 程 序 上 有 可 利 用 的 内 容 脚 本 ， 允 许 攻 击 者 从 管 理 器 中 提 取 密 码 ， 还 可 以 执 行 受 害 者 设 称 该 扩 展 程 序 上 有 可 利 用 的 内 容 脚 本 ， 允 许 攻 击 者 从 管 理 器 中 提 取 密 码 ， 还 可 以 执 行 受 害 者 设 备 上 的 命 令 。 备 上 的 命 令 。   所 有 平 台 都 受 影 响 所 有 平 台 都 受 影 响 C h r o m e 的 L a s t P a s s 插 件 漏 洞 可 被 利 用 攻 击 用 户 浏 览 器 和 L a s t P a s s 云 服 务 器 之 间 的 J S 脚 本 。 O r m a n d y 解 释 说 ： “ 由 于 该 漏 洞 的 存 在 ， 要 代 理 L a s t P a s s   4 . 1 . 4 2 不 受 信 任 的 信 息 是 可 行 的 。 这 个 漏 洞 可 让 网 站 访 问 内 部 高 权 限 R P C （ 远 程 过 程 调 用 ） 。 有 很 多 的 P R C ， 可 对 L a s t P a s s 扩 展 实 现 完 整 控 制 ， 包 括 密 码 的 窃 取 。 如 果 你 安 装 了 ‘ B i n a r y   C o m p o n e n t ’ ， 甚 至 可 以 造 成 任 意 代 码 执 行 。 ”
O r m a n d y 演 示 了 如 何 通 过 该 中 间 脚 本 在 用 户 设 备 上 执 行 代 码 ， 上 图 即 成 功 实 现 了 W i n d o w s 计 算 器 的 启 动 。 值 得 一 提 的 是 ， 该 漏 洞 存 在 于 所 有 操 作 系 统 中 ， 并 不 只 是 W i n d o w s 版 C h r o m e 。 另 外 改 一 下 P o C ， 在 密 码 复 制 并 填 充 用 户 名 和 密 码 表 单 之 前 ， 就 能 窃 取 用 户 密 码 了 。 在 具 体 攻 击 方 式 上 ， 攻 击 者 可 以 在 网 站 的 J S 脚 本 中 放 入 恶 意 代 码 ， 所 以 危 险 系 数 还 是 比 较 高 的 ， 攻 击 成 本 却 比 较 低 。 L a s t P a s s 发 布 推 文 称 已 经 修 复 了 C h r o m e 插 件 的 相 关 漏 洞 ， 还 专 门 发 了 篇 博 文 来 详 述 该 问 题 。 F i r e f o x 也 未 能 幸 免 也 未 能 幸 免 如 上 所 述 ， F i r e f o x 的 L a s t P a s s 扩 展 也 存 在 漏 洞 ， 仅 影 响 3 . 3 . 2 版 本 — — 这 个 版 本 的 确 也 是 L a s t P a s s 最 广 泛 应 用 的 版 本 。 和 C h r o m e 版 一 样 ， 攻 击 者 也 可 以 通 过 隐 藏 在 网 站 中 的 恶 意 J S 代 码 来 发 动 攻 击 ， 下 图 复 现 了 其 中 一 个 漏 洞 。
不 过 两 周 前 ， L a s t P a s s 就 发 布 了 新 版 F i r e f o x 插 件 ， 因 为 F i r e f o x 原 本 计 划 抛 弃 旧 有 扩 展 A P I 。 漏 洞 的 演 示 页 面 点 击 原 文 观 看   。 基 于 浏 览 器 的 密 码 管 理 扩 展 还 能 用 吗 ？ 基 于 浏 览 器 的 密 码 管 理 扩 展 还 能 用 吗 ？ 实 际 上 ， 这 已 经 不 是 O r m a n d y 首 次 在 L a s t P a s s 中 发 现 高 危 漏 洞 了 ： 2 0 1 6 年 7 月 ， 同 样 是   L a s t P a s s 浏 览 器 扩 展 组 件 爆 出 漏 洞 ， 黑 客 可 以 通 过 诱 导 用 户 点 击 一 个 连 接 ， 然 后 窃 取 用 户 的 所 有 密 码 ； 2 0 1 5 年 6 月 ， L a s t P a s s   的 服 务 器 被 黑 客 攻 击 ， 并 导 致 用 户 所 有 加 密 数 据 被 泄 露 ， 虽 然 泄 露 的 不 是 明 文 数 据 ， 但 这 些 数 据 依 旧 有 被 破 解 的 可 能 ； 2 0 1 4 年 ， 安 全 人 员 发 现   L a s t P a s s   的 四 个 密 码 管 理 漏 洞 ； L a s t P a s s 也 并 非 唯 一 被 曝 漏 洞 的 密 码 管 理 类 应 用 ： K e e p e r 、 D a s h l a n e 甚 至 1 P a s s w o r d 都 曾 给 予 攻 击 者 机 会 窃 取 用 户 账 户 密 码 。 基 于 浏 览 器 的 密 码 管 理 扩 展 都 存 在 类 似 的 攻 击 面 ， 攻 击 者 只 需 要 设 计 个 恶 意 网 站 让 相 应 用 户 去 访 问 就 能 在 用 户 不 知 情 的 情 况 下 窃 取 身 份 凭 证 信 息 。 使 用 这 些 浏 览 器 密 码 管 理 扩 展 插 件 ， 相 当 于 给 了 攻 击 者 一 个 A P I ， 通 过 J S 或 者 D O M 和 用 户 的 密 码 管 理 器 做 交 互 。 其 危 险 程 度 显 然 比 桌 面 应 用 要 大 得 多 。
实 际 上 ， 密 码 管 理 器 还 是 有 其 他 选 择 的 ， 也 完 全 不 需 要 遭 受 通 过 J S 直 接 访 问 的 风 险 尴 尬 ， 比 如 直 接 用 桌 面 密 码 管 理 器 。 另 外 主 流 的 浏 览 器 本 身 都 有 设 计 得 不 错 的 内 置 密 码 管 理 器 ， 也 很 易 于 使 用 ， 另 外 还 能 和 移 动 端 同 步 。 或 者 你 也 可 以 选 择 将 密 码 放 在 本 地 ， 然 后 进 行 加 密 。 如 果 攻 击 者 想 要 获 得 密 码 首 先 要 获 得 你 计 算 机 的 用 户 权 限 ， 然 后 在 你 解 密 文 件 的 时 候 查 看 密 码 ， 这 对 攻 击 者 来 说 难 度 不 小 。 *   参 考 来 源 ： N e t w o r k W o r l d , B l e e p i n g C o m p u t e r ， 米 雪 儿 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理