搜索

[514] 2017-03-31_另类追踪之——被“策反”的安全机制

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-03-31_另类追踪之——被“策反”的安全机制 另 类 追 踪 之 — — 被 “ 策 反 ” 的 安 全 机 制 原 创   H e y - x 1   A r k T e a m   2 0 1 7 - 0 3 - 3 1 W e b 安 全 一 直 是 互 联 网 用 户 非 常 关 心 的 话 题 ， 无 论 是 国 际 互 联 网 组 织 还 是 浏 览 器 厂 商 ， 都 在 尽 力 使 用 各 种 策 略 和 限 制 来 保 障 用 户 的 信 息 安 全 。 然 而 ， 这 种 好 的 出 发 点 ， 却 极 可 能 被 心 怀 不 轨 的 人 利 用 （ 即 被 “ 策 反 ” ） ， 来 对 用 户 进 行 追 踪 ， 带 来 更 多 的 隐 私 泄 露 问 题 和 其 他 的 安 全 隐 患 。 一 、 首 先 ， 介 绍 两 个 安 全 机 制 一 、 首 先 ， 介 绍 两 个 安 全 机 制 （ （ 1 ） ） H T T P 严 格 传 输 安 全 严 格 传 输 安 全 H S T S H S T S ( H T T P   S t r i c t   T r a n s p o r t   S e c u r i t y ) [ 1 ] ， 是 国 际 互 联 网 工 程 组 织 正 在 推 行 的 W e b 安 全 协 议 ， 其 作 用 是 强 制 客 户 端 （ 如 浏 览 器 ） 使 用 H T T P S 与 服 务 器 创 建 连 接 ， 用 来 抵 御 S S L 剥 离 攻 击 。 图 1   H S T S 原 理 图 如 图 所 示 H S T S 运 作 原 理 图 ， 对 其 进 行 拆 解 ： 1 )   用 户 在 浏 览 器 中 首 次 打 开 使 用 H S T S 机 制 的 网 站 时 ， 如 果 使 用 H T T P 协 议 ① ， 则 服 务 器 会 返 回 带 有 S t a t i c   T r a n s p o r t S e c u r i t y （ S T S ） 的 H T T P 头 ② ， 并 通 知 浏 览 器 将 协 议 重 定 向 为 H T T P S ， 浏 览 器 重 新 使 用 H T T P S 协 议 与 服 务 器 进 行 连 接 ③ 。 2 )   用 户 浏 览 器 客 户 端 与 服 务 器 进 行 通 信 ， 服 务 器 向 浏 览 器 发 放 证 书 ④ ⑤ 。 网 站 域 名 会 被 添 加 到 浏 览 器 的 H S T S 列 表 中 ， 在 之 后 与 服 务 器 的 通 信 中 强 制 使 用 H T T P S 协 议 。 当 用 户 再 次 使 用 H T T P 协 议 访 问 目 标 网 站 时 ⑥ ， 会 被 H S T S 机 制 强 制 转 换 为 H T T P S 协 议 进 行 连 接 建 立 和 信 息 传 输 ⑦ 。 H S T S   P r e l o a d   L i s t ： H S T S   p r e l o a d   l i s t 是 C h r o m e 浏 览 器 中 的 H S T S 预 载 入 列 表 ， 该 列 表 中 的 域 名 被 硬 编 码 在 了 浏 览 器 中 ， 当 访 问 列 表 中 的 网 站 时 ， 即 便 是 第 一 次 访 问 ， 也 会 默 认 使 用 H T T P S 协 议 ， 用 户 网 站 需 要 申 请 和 审 核 才 能 加 入 列 表 。 F i r e f o x 、
S a f a r i 、 E d g e 等 浏 览 器 均 采 用 这 个 列 表 ， 下 面 讲 述 中 所 使 用 的 列 表 中 的 域 名 当 时 均 不 在 下 面 讲 述 中 所 使 用 的 列 表 中 的 域 名 当 时 均 不 在 P r e l o a d   L i s t 中 中 。 （ （ 2 ） 内 容 安 全 策 略 ） 内 容 安 全 策 略 C S P C S P ( C o n t e n t   S e c u r i t y   P o l i c y ) [ 2 ] ， 是 一 个 附 加 的 安 全 层 ， 可 以 通 过   H T T P   头 信 息 的 C o n t e n t - S e c u r i t y - P o l i c y 字 段 ， 或 者 网 页 的 < m e t a > 标 签 进 行 设 置 ， 用 来 帮 助 检 测 和 缓 解 X S S 、 数 据 注 入 等 攻 击 。 图 2   G i t h u b   C S P 配 置 信 息 内 容 安 全 策 略 通 过 包 含 C o n t e n t - S e c u r i t y - P o l i c y 的 H T T P 头 来 创 建 一 个 白 名 单 制 度 ， 规 定 浏 览 器 只 允 许 加 载 和 执 行 白 名 单 域 中 的 资 源 和 代 码 。 如 果 不 在 白 名 单 域 中 ， 即 便 攻 击 者 发 现 了 漏 洞 ， 也 无 法 实 施 注 入 攻 击 。 图 2 为 G i t h u b 的 C S P 相 关 配 置 ， 配 置 相 关 细 节 见 参 考 [ 3 ] [ 4 ] 。 （ （ 3 ） 安 全 ） 安 全 & 危 险 危 险 H T T P 严 格 传 输 安 全 （ H T S T ） 和 内 容 安 全 策 略 （ C S P ） 这 两 个 新 的 功 能 已 经 被 内 置 到 了 F i r e f o x 和 C h r o m e 浏 览 器 ， 并 且 之 后 很 有 可 能 也 被 其 他 主 流 浏 览 器 支 持 。 一 位 研 究 学 者 将 这 两 个 安 全 机 制 结 合 进 行 利 用 ， 即 使 在 用 户 删 除 浏 览 器 历 史 记 录 的 情 况 下 ， 依 然 可 以 对 用 户 浏 览 器 访 问 过 的 域 名 进 行 获 取 ， 所 获 取 的 用 户 的 访 问 历 史 列 表 可 以 用 来 追 踪 数 百 万 的 互 联 网 用 户 。 是 不 是 感 觉 本 来 用 来 保 障 用 户 安 全 的 机 制 被 是 不 是 感 觉 本 来 用 来 保 障 用 户 安 全 的 机 制 被 “ 策 反 策 反 ” 了 ， 成 了 对 自 己 实 施 追 踪 的 工 具 ？ 下 面 我 们 将 具 体 讲 述 ， 了 ， 成 了 对 自 己 实 施 追 踪 的 工 具 ？ 下 面 我 们 将 具 体 讲 述 ， “ 策 策 反 反 ” 工 作 是 如 何 执 行 的 。 工 作 是 如 何 执 行 的 。 二 、 二 、 “ 策 反 策 反 ” 工 作 工 作 Y a n   Z h u ， 一 个 独 立 的 安 全 研 究 学 者 ， 在 圣 地 亚 哥 的 2 0 1 5 年 T o o r c o n 的 安 全 会 议 上 示 范 了 自 己 开 发 的 S n i f f l y 追 踪 网 站 ， S n i f f l y 中 内 置 了 一 个 从 A l e x a 网 站 上 获 取 使 用 H S T S ， 并 且 不 在 H S T S   P r e l o a d   L i s t 中 的 域 名 ， 利 用 H S T S 和 C S P 机 制 对 用 户 浏 览 器 访 问 过 的 域 名 进 行 嗅 探 。 如 下 图 ， 访 问 h t t p : / / z y a n . s c r i p t s . m i t . e d u / s n i f f l y / ， 页 面 中 会 显 示 用 户 已 访 问 过 和 未 曾 访 问 过 的 域 名 列 表 。 如 图 3 为 在 F i r e f o x 上 测 试 的 结 果 ， G i t H u b 上 已 经 有 P O C 代 码 h t t p s : / / g i t h u b . c o m / d i r a c d e l t a s / s n i f f l y / t r e e / m a s t e r ， 目 前 C h r o m e 4 8 以 上 版 本 已 经 修 复 该 漏 洞 。
图 3   F i r e f o x 对 S n i f f l y 测 试 的 结 果 S n i f f l y 的 工 作 原 理 （ 以 的 工 作 原 理 （ 以 b i t c o i n . o r g 为 例 ） 为 例 ） S n i f f l y 使 用 < m e t a > 形 式 设 置 C S P ， 而 F i r e f o x 浏 览 器 不 支 持 这 种 方 式 ， 因 此 将 对 C h r o m e 浏 览 器 和 F i r e f o x 浏 览 器 上 不 同 的 工 作 原 理 分 别 进 行 讲 述 。 （ 一 ） （ 一 ） C h r o m e 浏 览 器 浏 览 器 （ （ 1 ） 首 次 访 问 使 用 ） 首 次 访 问 使 用 H S T S 的 情 况 的 情 况 当 用 户 第 一 次 使 用 H T T P 协 议 访 问 b i t c o i n . o r g 时 ， 服 务 器 返 回 包 含 S T S 和 C S P 的 H T T P 头 ， 通 知 浏 览 器 使 用 H T T P S 协 议 访 问 网 站 ， 并 且 只 执 行 C S P 规 定 域 中 的 资 源 。 图 4 展 示 了 H T T P 重 定 向 到 H T T P S 的 耗 时 情 况 。 图 4   H T T P 连 接 重 定 向 耗 时 （ （ 2 ） 曾 访 问 过 ） 曾 访 问 过 H S T S 目 标 网 站 的 情 况 目 标 网 站 的 情 况 当 用 户 已 经 访 问 过 使 用 H S T S 的 目 标 网 站 时 ， 即 b i t c o i n . o r g 已 经 被 添 加 到 了 浏 览 器 的 H S T S 列 表 中 。 如 图 5 和 6 显 示 了 用 户 第 二 次 访 问 使 用 H S T S 的 网 站 ， 以 及 H S T S 强 制 浏 览 器 内 部 重 定 向 为 H T T P S 协 议 与 服 务 器 进 行 交 互 的 情 况 。 图 5   第 二 次 访 问 使 用 H S T S 网 站
图 6   浏 览 器 强 制 使 用 H T T P S 协 议 （ （ 3 ） ） C S P 阻 断 阻 断 H T T P S 的 重 定 向 （ 的 重 定 向 （ C h r o m e 浏 览 器 ） 浏 览 器 ） S n i f f l y 利 用 C S P 的 白 名 单 策 略 ， 对 资 源 的 加 载 进 行 限 制 。 S n i f f l y 作 为 第 一 方 网 站 ， 通 过 对 使 用 了 H S T S 的 网 站 （ 这 里 称 作 “ 第 三 方 网 站 ” ） 构 建 i m g 请 求 （ 即 加 载 第 三 方 的 i m g 资 源 ） ， 实 施 C S P 的 阻 断 ， S n i f f l y 在 C h r o m e 浏 览 器 的 工 作 原 理 ， 如 下 图 所 示 。 图 7   C S P 截 获 H T T P S 重 定 向 过 程 如 图 7 所 示 C S P 截 获 H T T P S 的 重 定 向 过 程 ， 对 其 进 行 拆 解 ： 1 ） ） C S P 部 署 部 署 ： 用 户 打 开 S n i f f l y 网 站 ， 通 过 网 页 的 < m e t a > 设 置 C S P 为 “ i m g - s r c   h t t p ” j k ， 即 限 制 浏 览 器 只 可 以 加 载 使 用 即 限 制 浏 览 器 只 可 以 加 载 使 用 H T T P 协 协 议 的 议 的 i m g 资 源 资 源 。 针 对 使 用 了 H S T S 机 制 的 域 名 ， 构 建 i m g 请 求 l o ， 图 中 为 的 情 景 1 和 2 标 识 用 户 是 否 访 问 过 目 标 网 站 （ i m g 的 s r c 随 机 生 成 ， 是 为 了 屏 蔽 浏 览 器 缓 存 的 影 响 ） ， 如 图 8 所 示 。 图 8   S n i f f l y 的 C S P 部 署 和 随 机 i m g   s r c 地 址
2 ） 未 访 问 过 目 标 网 站 ） 未 访 问 过 目 标 网 站 ： 若 用 户 浏 览 器 未 访 问 过 b i t c o i n . o r g ， 则 首 先 会 进 行 H T T P S 重 定 向 m ， 更 换 H T T P S 协 议 再 次 发 起 请 求 n ， H T T P S 协 议 的 i m g 请 求 会 被 S n i f f l y 的 C S P 阻 断 （ 如 图 9 ） 。 3 ） 曾 访 问 过 目 标 网 站 ） 曾 访 问 过 目 标 网 站 ： 若 用 户 浏 览 器 曾 访 问 过 b i t c o i n . o r g ， 由 于 使 用 了 H S T S 机 制 ， H T T P 请 求 在 浏 览 器 内 被 强 制 转 换 为 H T T P S 协 议 p ， H T T P S 协 议 的 i m g 请 求 会 被 S n i f f l y 的 C S P 阻 断 ， 如 图 9 所 示 。 图 9   S n i f f l y 对 H T T P 协 议 进 行 阻 断 注 ： 使 用 注 ： 使 用 C S P 阻 断 阻 断 H T T P S 不 只 为 了 获 取 重 定 向 的 时 间 ， 如 果 不 只 为 了 获 取 重 定 向 的 时 间 ， 如 果 C S P 未 对 未 对 H T T P S 的 重 定 向 连 接 进 行 阻 断 ， 则 成 功 连 接 后 的 的 重 定 向 连 接 进 行 阻 断 ， 则 成 功 连 接 后 的 H S T S 机 制 会 污 染 用 户 的 访 问 历 史 ， 因 此 造 成 误 判 。 机 制 会 污 染 用 户 的 访 问 历 史 ， 因 此 造 成 误 判 。 （ 二 ） （ 二 ） F i r e f o x 浏 览 器 浏 览 器 由 于 F i r e f o x 浏 览 器 不 支 持 通 过 < m e t a > 的 形 式 设 置 C S P ， 因 此 S n i f f l y 利 用 了 浏 览 器 的 漏 洞 I s s u e 4 3 6 4 5 1 [ 7 ] 对 F i r e f o x 历 史 列 表 进 行 嗅 探 ， 该 漏 洞 同 样 利 用 H S T S 机 制 ， 如 图 1 0 所 示 （ 图 中 隐 去 了 P r e l o a d   L i s t 部 分 ） 。 图 1 0   I s s u e 4 3 6 4 5 1 漏 洞 原 理 示 意 图 利 用 该 原 理 构 造 类 似 h t t p : / / e x a m p l e . c o m : 4 4 3 / f a v i c o n . i c o   的 请 求 ， 浏 览 器 对 曾 经 访 问 过 的 目 标 网 站 使 用 H T T P S 协 议 与 服 务 器 连 接 ， 而 未 访 问 过 的 域 名 ， 则 无 法 正 常 建 立 连 接 ， 因 此 这 种 方 式 不 会 污 染 浏 览 器 的 H S T S 列 表 ， 如 图 1 1 所 示 使 用 f i d d e r 抓 包 的 效 果 。
图 1 1   F i r e f o x 中 构 造 的 i m g 请 求 示 意 图 （ 三 ） 结 果 判 定 （ 三 ） 结 果 判 定 由 图 4 和 图 5 可 以 得 出 ， 通 过 服 务 器 3 0 1 / 3 0 2 进 行 的 H T T P S 重 定 向 耗 时 在 1 0 0 毫 秒 以 上 ， 而 浏 览 器 内 部 重 定 向 （ I n t e r n a l R e d i r e c t ） 几 乎 不 耗 时 。 通 过 C S P 对 H T T P S 进 行 阻 断 ， 利 用 J S 中 i m g 的 o n e r r o r 事 件 进 行 监 听 ， 只 获 取 重 定 向 消 耗 的 时 间 ， 通 过 计 算 时 间 的 消 耗 对 用 户 是 否 访 问 使 用 H S T S 的 网 站 进 行 判 定 。 不 同 用 户 的 浏 览 记 录 千 差 万 别 ， 以 浏 览 器 历 史 信 息 作 为 用 户 的 追 踪 依 据 ， 能 够 保 证 用 户 的 唯 一 性 ， 并 且 S n i f f l y 中 的 列 表 只 是 使 用 A l e x a 网 站 中 网 站 列 表 的 很 小 一 部 分 。 不 同 浏 览 器 中 的 不 同 浏 览 器 中 的 H S T S 位 置 位 置 F i r e f o x 的 的 H S T S 列 表 列 表 ： 打 开 F i r e f o x 的 文 件 浏 览 ， 在 地 址 栏 中 输 入 % A P P D A T A % M o z i l l a F i r e f o x P r o f i l e s ， 双 击 其 中 的 目 录 ， 在 文 件 夹 中 找 到 S i t e S e c u r i t y S e r v i c e S t a t e . t x t ， 其 中 包 含 着 H S T S 的 列 表 。 图 1 2   F i r e f o x 中 的 H S T S 列 表 C h r o m e 的 的 H S T S 列 表 列 表 ： 在 C h r o m e 浏 览 器 中 ， 打 开 c h r o m e : / / n e t - i n t e r n a l s / # h s t s ， 可 以 在 其 中 查 询 、 增 加 、 删 除 本 地 H S T S 相 关 的 域 名 信 息 。
图 1 3   C h r o m e 中 的 H S T S 列 表 （ 四 ） 第 二 代 追 踪 （ 四 ） 第 二 代 追 踪   S n i f f l y 2 以 上 的 技 术 实 现 均 为 第 一 代 的 S n i f f l y ， Y a n 已 经 实 现 了 第 二 代 的 S n i f f l y 2 。 S n i f f l y 2 主 要 针 对 基 于 C h r o m i u m 引 擎 的 浏 览 器 ， 使 用 H S T S 的 h e a d e r 和 P e r f o r m a n c e   T i m i n g   A P I 嗅 探 浏 览 器 的 历 史 记 录 ， 同 样 是 使 用 时 间 差 机 制 对 用 户 是 否 访 问 过 目 标 网 站 进 行 判 断 。 G i t h u b 代 码 ： h t t p s : / / g i t h u b . c o m / d i r a c d e l t a s / s n i f f l y   测 试 网 站 ： h t t p : / / d i r a c d e l t a s . g i t h u b . i o / s n i f f l y / 三 、 最 后 三 、 最 后 目 前 这 种 追 踪 方 式 ， 仅 仅 能 够 追 踪 到 使 用 H S T S 保 护 的 网 络 站 点 ， 并 且 只 对 域 名 和 子 域 名 进 行 了 记 录 。 如 果 用 户 的 浏 览 器 装 有 H T T P S   E v e r y w h e r e [ 1 0 ] 插 件 （ 强 制 所 有 支 持 H T T P S 的 站 点 使 用 安 全 连 接 ） ， 这 种 追 踪 方 式 也 是 没 有 效 果 的 ， 不 过 ， 这 个 缺 点 在 之 后 应 该 通 过 修 改 代 码 就 能 够 解 决 。 四 、 参 考 资 料 四 、 参 考 资 料 [ 1 ]   h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 6 6 8 2 7 . h t m l [ 2 ]   h t t p : / / j a q . a l i b a b a . c o m / c o m m u n i t y / a r t / s h o w ? a r t i c l e i d = 5 1 8 [ 3 ]   h t t p s : / / c o n t e n t - s e c u r i t y - p o l i c y . c o m /   [ 4 ]   h t t p s : / / t o u t i a o . i o / p o s t s / v 0 m v j l / p r e v i e w   [ 5 ]   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 5 / 1 0 / t r a c k - o n l i n e - u s e r s . h t m l     [ 6 ]   h t t p s : / / z y a n . s c r i p t s . m i t . e d u / p r e s e n t a t i o n s / t o o r c o n 2 0 1 5 . p d f     [ 7 ]   h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / i s s u e s / d e t a i l ? i d = 4 3 6 4 5 1 [ 8 ]   h t t p s : / / g i t h u b . c o m / d i r a c d e l t a s / s n i f f l y     [ 9 ]   h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / 8 7 6 4 1 . h t m l     [ 1 0 ]   h t t p s : / / w w w . e f f . o r g / h t t p s - e v e r y w h e r e 更 多 精 彩 内 容 ， 请 关 注 ：
1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m 2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理