搜索

[11908] 2017-10-19_WebUSB：一个网页是如何从你的手机中盗窃数据的（含PoC）

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2017-10-19_WebUSB：一个网页是如何从你的手机中盗窃数据的（含PoC） W e b U S B ： 一 个 网 页 是 如 何 从 你 的 手 机 中 盗 窃 数 据 的 （ 含 P o C ） C o v f e f e   F r e e B u f   2 0 1 7 - 1 0 - 1 9 介 绍 介 绍 今 年 9 月 1 5 日 ， C h r o m e 6 1 发 布 ， 它 启 用 了 W e b U S B 作 为 其 默 认 功 能 。 而 W e b U S B 是 一 个 J a v a s c r i p t   A P I ， 可 以 允 许 网 页 访 问 已 连 接 的 U S B 设 备 。 这 里 的 U S B 设 备 是 指 系 统 和 工 业 的 U S B 设 备 ， 所 以 不 支 持 常 见 的 U S B 设 备 （ 比 如 网 络 摄 像 头 ， H I D 或 大 容 量 储 存 设 备 ） 。 然 而 通 过 W e b U S B   A P I ， 很 多 其 他 的 U S B 设 备 可 以 被 访 问 ， 且 当 用 户 授 权 给 网 页 时 ， 自 己 可 能 根 本 不 了 解 网 页 获 取 的 访 问 权 限 级 别 。 这 篇 文 章 探 寻 这 篇 文 章 探 寻 W e b U S B 的 功 能 ， 以 深 入 了 解 其 工 作 原 理 ， 攻 击 方 法 及 隐 私 问 题 。 我 们 会 解 释 访 问 设 备 所 需 的 过 的 功 能 ， 以 深 入 了 解 其 工 作 原 理 ， 攻 击 方 法 及 隐 私 问 题 。 我 们 会 解 释 访 问 设 备 所 需 的 过 程 ， 以 及 浏 览 器 是 如 何 处 理 权 限 的 ， 然 后 我 们 会 讨 论 一 些 安 全 隐 患 ， 并 演 示 一 个 网 站 如 何 使 用 程 ， 以 及 浏 览 器 是 如 何 处 理 权 限 的 ， 然 后 我 们 会 讨 论 一 些 安 全 隐 患 ， 并 演 示 一 个 网 站 如 何 使 用 W e b U S B 来 建 立 来 建 立 A D B 连 接 来 入 侵 安 卓 手 机 。 连 接 来 入 侵 安 卓 手 机 。 基 础 基 础 当 U S B 设 备 插 入 主 机 时 ， 浏 览 器 会 读 取 设 备 发 送 的 描 述 符 ， 然 后 将 其 储 存 在 内 部 U S B 设 备 储 存 器 中 。 此 过 程 由 C h r o m e 的 浏 览 器 内 核 B l i n k 处 理 。 日 志 可 以 在 c h r o m e : / / d e v i c e - l o g （ G E T 参 数 “ r e f r e s h   =   1 ” 非 常 有 用 ） 中 查 看 。 根 据 规 范 ， 设 备 可 以 在 其 二 进 制 对 象 存 储 中 的 平 台 描 述 符 中 明 确 地 声 明 对 W e b U S B 的 支 持 。 O f f s e t F i e l d S i z e V a l u e D e s c r i p t i o n 0 b L e n g t h 1 N u m b e r S i z e   o f   t h i s   d e s c r i p t o r .   M u s t   b e   s e t   t o   2 4 . 1 b D e s c r i p t o r T y p e 1 C o n s t a n t D E V I C E   C A P A B I L I T Y   d e s c r i p t o r   t y p e . 2 b D e v C a p a b i l i t y T y p e 1 C o n s t a n t P L A T F O R M   c a p a b i l i t y   t y p e . 3 b R e s e r v e d 1 N u m b e r T h i s   f i e l d   i s   r e s e r v e d   a n d   s h a l l   b e   s e t   t o   z e r o . 4 P l a t f o r m C a p a b i l i t y U U I D 1 6 U U I D M u s t   b e   s e t   t o   { 3 4 0 8 b 6 3 8 - 0 9 a 9 - 4 7 a 0 - 8 b f d - a 0 7 6 8 8 1 5 b 6 6 5 } . 2 0 b c d V e r s i o n 2 B C D P r o t o c o l   v e r s i o n   s u p p o r t e d .   M u s t   b e   s e t   t o   0 x 0 1 0 0 . 2 2 b V e n d o r C o d e 1 N u m b e r b R e q u e s t   v a l u e   u s e d   f o r   i s s u i n g   W e b U S B   r e q u e s t s . 2 3 i L a n d i n g P a g e 1 N u m b e r U R L   d e s c r i p t o r   i n d e x   o f   t h e   d e v i c e ’ s   l a n d i n g   p a g e . 浏 览 器 将 每 个 U S B 设 备 存 储 在 自 己 的 设 备 存 储 器 中 。 W e b U S B 的 可 访 问 性 由 本 机 驱 动 程 序 支 持 所 决 定 。 在 W i n d o w s 上 ， 我 们 可 以 通 过 浏 览 器 访 问 由 W i n U S B 驱 动 程 序 处 理 的 每 个 U S B 设 备 。 其 他 的 诸 如 大 容 量 存 储 设 备 ， 网 络 摄 像 头 或 H I D 等 就 无 法 通 过 网 络 访 问 了 ， 因 为 它 们 具 有 处 理 这 些 设 备 的 专 用 驱 动 程 序 。 根 据 规 范 （ 和 本 博 客 文 章 ） ， 一 旦 设 备 注 册 ， 浏 览 器 就 会 显 示 一 条 通 知 。 看 起 来 像 这 样 ：
但 是 ， 这 种 行 为 不 容 易 重 现 。 我 们 在 以 下 系 统 上 尝 试 过 ： W i n d o w s   7 ,   C h r o m e   6 1 W i n d o w s   1 0 ,   C h r o m e   6 1 D e b i a n ,   C h r o m i u m   6 0   ( 启 用 了 c h r o m e : / / f l a g s / # e n a b l e - e x p e r i m e n t a l - w e b - p l a t f o r m - f e a t u r e s ) D e b i a n ,   G o o g l e   C h r o m e   6 1 A r c h   L i n u x ,   C h r o m i u m   6 1 A r c h   L i n u x ,   G o o g l e   C h r o m e   6 1 P l a t f o r m   D e s c r i p t o r 中 有 一 个 有 趣 的 元 素 叫 做 “ i L a n d i n g P a g e ” 。 即 使 规 范 将 协 议 “ h t t p : / / ” 和 “ h t t p s : / / ” 作 为 前 缀 ， 我 们 也 可 以 选 择 一 个 空 协 议 ， 在 这 种 情 况 下 ， 我 们 应 该 可 以 在 提 供 的 U R L 本 身 中 指 定 协 议 。 但 是 ， C h r o m e 已 移 除 或 根 本 没 有 实 现 注 入 任 意 U R L 前 缀 的 功 能 。 以 下 是 源 文 件 中 名 为 “ w e b u s b _ d e s c r i p t o r s . c c ” 的 代 码 片 段 。 它 解 析 接 收 到 的 描 述 头 ， 包 括 “ i L a n d i n g P a g e ” 。 将 U R L 前 缀 限 制 为 “ h t t p : / / ” 和 “ h t t p s : / / ” 。 请 求 访 问 设 备 请 求 访 问 设 备 网 页 可 以 打 开 提 示 请 求 访 问 设 备 ， 它 必 须 指 定 过 滤 器 来 过 滤 可 用 的 设 备 。 如 果 过 滤 器 为 空 ， 那 么 即 允 许 用 户 从 所 有 可 用 设 备 中 选 择 设 备 。 打 开 的 提 示 如 下 所 示 ：
用 户 可 以 看 到 所 有 （ 过 滤 的 ） 可 用 设 备 。 设 备 名 称 引 用 于 自 身 所 发 送 的 产 品 名 称 。 如 果 没 有 指 定 产 品 名 称 ， C h r o m e 会 尝 试 通 过 有 关 设 备 的 已 知 信 息 来 猜 测 一 个 表 达 性 的 名 称 。 然 后 ， 它 会 将 设 备 命 名 为 “ 来 自 ” 的 未 知 设 备 。 用 户 选 择 设 备 并 点 击 “ 连 接 ” 后 ， 即 可 授 予 访 问 设 备 的 权 限 。 权 限 处 理 权 限 处 理 权 限 由 C h r o m e 的 p e r m i s s i o n   A P I 处 理 。 一 旦 向 网 页 授 予 权 限 访 问 设 备 ， 权 限 会 一 直 持 续 ， 直 到 用 户 手 动 撤 销 。 处 理 权 限 的 A P I 根 据 其 根 源 区 分 “ 网 页 ” ， 即 当 具 有 匹 配 的 协 议 ， 主 机 和 端 口 时 ， 浏 览 器 就 会 认 为 这 个 网 页 与 另 一 网 页 相 同 。 浏 览 器 识 别 唯 一 设 备 的 行 为 不 是 很 明 显 ， 用 于 识 别 的 候 选 目 标 由 设 备 在 其 描 述 头 中 发 送 。 候 选 目 标 如 下 ： G U I D V e n d o r   I D P r o d u c t   I D 虽 然 G U I D 是 唯 一 的 I D ， 但 它 不 能 用 于 识 别 设 备 。 以 下 是 多 次 插 入 和 拔 出 测 试 设 备 的 日 志 的 截 图 ， 可 见 每 次 设 备 都 有 不 一 样 的 G U I D ， 即 便 如 此 ， 每 次 插 入 后 设 备 都 被 许 可 且 可 以 访 问 ， 不 需 要 进 一 步 的 许 可 请 求 。 这 表 明 C h r o m e 使 用 V e n d o r   I D 和 P r o d u c t   I D 的 组 合 来 标 识 设 备 。
访 问 设 备 访 问 设 备 一 旦 网 页 被 授 予 访 问 设 备 的 权 限 ， 那 么 就 可 以 访 问 它 了 。 首 先 其 必 须 打 开 设 备 ， 打 开 设 备 的 过 程 中 就 开 始 了 与 设 备 的 会 话 ， 然 后 设 备 会 被 锁 定 ， 这 样 同 一 浏 览 器 会 话 中 的 其 他 选 项 卡 就 无 法 访 问 了 。 但 是 另 一 个 浏 览 器 的 另 一 个 网 页 仍 然 可 以 打 开 相 同 设 备 。 为 了 与 设 备 进 行 通 信 ， 浏 览 器 必 须 声 明 要 与 之 通 信 的 接 口 。 在 声 明 接 口 之 后 ， 主 机 上 的 任 何 其 他 应 用 程 序 都 是 无 法 声 明 的 。 使 用 声 明 的 接 口 ， 页 面 可 以 与 指 定 接 口 的 端 点 通 信 。 接 下 来 ， 页 面 启 动 控 制 传 输 来 设 置 设 备 ， 这 基 本 上 指 定 了 它 希 望 与 设 备 通 信 的 方 式 以 及 所 要 求 的 确 切 功 能 。 一 旦 设 备 设 置 好 ， 它 就 可 以 传 输 数 据 ， 并 且 完 成 U S B 设 备 接 口 的 所 有 功 能 。 检 查 检 查 W e b U S B 的 支 持 的 支 持 我 们 构 建 了 一 个 小 型 概 念 性 证 明 （ P o C ） 工 具 ， 可 以 轻 松 确 定 W e b U S B 是 否 支 持 设 备 。 该 工 具 测 试 是 否 能 至 少 声 明 一 个 已 连 接 的 U S B 设 备 的 接 口 ， 如 果 存 在 ， 那 么 就 意 味 着 它 可 以 与 设 备 通 信 ， 因 此 该 设 备 是 被 支 持 的 。 不 过 该 工 具 无 法 测 试 U S B 设 备 是 否 完 全 不 受 支 持 ， 因 为 无 法 声 明 接 口 的 原 因 有 所 不 同 。 该 接 口 可 以 被 另 一 个 程 序 声 明 ， 或 浏 览 器 可 能 没 有 系 统 （ L i n u x ） 的 访 问 权 限 。 该 工 具 是 一 个 简 单 的 静 态 网 站 。 你 可 以 点 击 这 里 下 载 。 这 是 它 的 外 观 ： 要 测 试 设 备 是 否 支 持 ， 请 单 击 “ 选 择 设 备 ” 按 钮 打 开 权 限 提 示 。 此 提 示 将 列 出 所 有 可 用 的 U S B 设 备 。 通 过 选 择 所 需 的 设 备 并 单 击 “ 连 接 ” ， 工 具 将 打 开 设 备 ， 并 遍 历 每 个 可 用 的 界 面 ， 并 尝 试 声 明 。 结 果 记 录 在 页 面 底 部 的 表 格 中 。 被 声 明 的 i n t e r f a c e s 列 显 示 可 以 声 明 的 接 口 编 号 。
如 果 要 在 其 他 地 方 使 用 受 支 持 的 设 备 ， 则 需 要 刷 新 站 点 或 关 闭 该 选 项 卡 。 安 全 性 考 虑 安 全 性 考 虑 总 体 来 说 W e b U S B 是 安 全 的 ， 但 是 像 所 有 新 添 加 的 代 码 一 样 ， 它 扩 大 了 代 码 库 ， 因 此 也 扩 大 了 浏 览 器 的 受 攻 击 面 。 这 是 一 种 新 技 术 ， 所 以 问 题 是 不 可 避 免 的 ， 在 这 方 面 的 一 些 安 全 状 况 已 经 有 了 初 步 意 见 。 W e b U S B 在 C h r o m e 的 浏 览 器 内 核 B l i n k 中 运 行 。 因 此 ， 发 现 W e b U S B 中 的 内 存 崩 溃 可 能 并 不 比 B l i n k 中 其 他 地 方 的 内 存 崩 溃 更 影 响 更 大 。 实 现 W e b U S B 的 网 站 应 确 保 节 制 使 用 X S S 是 一 个 优 先 事 项 。 利 用 X S S 漏 洞 的 攻 击 者 可 能 具 有 与 网 站 相 同 的 对 已 连 接 设 备 的 访 问 权 ， 期 间 用 户 并 不 会 注 意 到 。 处 理 W e b U S B 的 权 限 对 于 用 户 可 能 不 是 很 明 显 。 当 页 面 请 求 访 问 U S B 设 备 时 ， 向 用 户 发 出 的 通 知 不 包 含 任 何 警 告 ， 而 该 站 点 从 这 时 起 将 具 有 对 该 设 备 的 完 整 的 ， 静 默 的 U S B 访 问 权 限 。 我 们 构 建 了 一 个 概 念 性 证 明 （ P o C ） 来 证 明 这 个 问 题 。 在 这 种 情 况 下 ， 基 于 W e b U S B 的 A D B 主 机 实 现 被 用 于 访 问 连 接 的 A n d r o i d 手 机 。 一 旦 用 户 接 受 请 求 ， 该 页 面 使 用 W e b U S B 可 以 从 相 机 文 件 夹 中 检 索 所 有 图 片 。 【 点 击 阅 读 原 文 下 载 P o C 】 通 过 这 种 访 问 级 别 ， 网 站 不 仅 可 以 从 文 件 系 统 中 窃 取 每 个 可 读 取 的 文 件 ， 还 可 以 安 装 A P K ， 访 问 摄 像 头 和 麦 克 风 来 监 视 用 户 ， 并 可 能 将 权 限 升 级 到 r o o t 。 该 示 例 受 到 用 户 交 互 的 高 度 限 制 ， 因 此 风 险 大 大 降 低   -   用 户 必 须 向 其 手 机 授 予 网 页 权 限 ， 在 其 手 机 上 激 活 U S B 调 试 ， 并 最 终 允 许 来 自 主 机 的 A D B 连 接 。 到 目 前 为 止 ， 这 只 适 用 于 L i n u x ， 因 为 在 W i n d o w s 中 的 实 现 相 当 不 稳 定 。 然 而 ， 它 既 可 以 作 为 在 W e b U S B 上 运 行 复 杂 协 议 的 示 例 ， 也 可 以 显 示 W e b U S B 请 求 的 一 次 点 击 如 何 导 致 数 据 泄 露 。 您 可 以 在 下 面 的 视 频 中 看 到 P o C 的 操 作 。 有 两 个 虚 拟 机 ， 左 边 的 一 个 作 为 恶 意 的 W e b 服 务 器 ， 右 边 的 一 个 作 为 受 害 者 。 网 站 连 接 到 手 机 后 ， A D B 连 接 在 手 机 上 确 认 。 然 后 检 索 所 有 拍 摄 的 照 相 机 图 像 并 将 其 显 示 出 来 。 【 点 击 阅 读 原 文 下 载 源 码 】 视 频 地 址 ： 视 频 地 址 ： h t t p s : / / l a b s . m w r i n f o s e c u r i t y . c o m / a s s e t s / U p l o a d s / W e b A D B - D e m o . m p 4 进 一 步 的 研 究 进 一 步 的 研 究 进 一 步 的 研 究 可 能 集 中 在 发 现 实 现 W e b U S B 的 缺 陷 ， 并 可 能 会 披 露 内 存 崩 溃 b u g 。 然 而 ， 代 码 库 相 对 较 小 ， 并 且 新 的 修 复 也 在 持 续 写 入 。
另 一 个 有 趣 的 调 查 对 象 是 用 恶 意 的 U S B 设 备 攻 击 C h r o m e 。 前 者 可 能 会 发 送 错 误 的 U S B 描 述 符 ， 并 可 能 在 浏 览 器 中 触 发 未 预 期 的 行 为 。   C h r o m e 可 以 为 W e b U S B （ c h r o m e : / / u s b - i n t e r n a l s / ） 添 加 虚 拟 测 试 设 备 ， 这 很 有 帮 助 。 这 样 的 攻 击 向 量 需 要 物 理 访 问 设 备 ， 所 以 显 得 有 点 不 太 现 实 。 另 外 ， 在 研 究 W e b U S B 或 任 何 其 他 新 的 网 络 标 准 时 ， 如 W e b 蓝 牙 或 W e b   N F C ， 请 记 住 ， 这 些 功 能 日 新 月 异 ， 甚 至 一 个 月 前 的 信 息 可 能 已 经 过 时 了 。 总 结 总 结 一 般 来 说 ， 由 于 在 有 限 的 审 查 期 间 管 理 和 限 制 ， W e b U S B 被 确 定 具 有 良 好 的 安 全 标 准 。 支 持 的 设 备 非 常 有 限 ， W e b U S B 无 法 访 问 网 络 摄 像 头 ， H I D 和 大 容 量 存 储 设 备 。 然 而 进 一 步 研 究 后 ， 我 们 发 现 这 是 一 个 有 趣 的 技 术 ， 特 别 是 在 引 入 重 大 变 化 或 附 加 功 能 时 。 建 议 用 户 永 远 不 要 让 不 受 信 任 的 网 站 访 问 包 含 任 何 敏 感 数 据 的 U S B 设 备 。 这 可 能 导 致 设 备 被 入 侵 。 * 参 考 来 源 ： m w i n f o s e c u r i t y ， C o v f e f e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理