搜索

[12379] 2018-02-20_利用CSS注入（无iFrames）窃取CSRF令牌

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2018-02-20_利用CSS注入（无iFrames）窃取CSRF令牌 利 用 C S S 注 入 （ 无 i F r a m e s ） 窃 取 C S R F 令 牌 s e c i s t   F r e e B u f   2 0 1 8 - 0 2 - 2 0 C S S 相 信 大 家 不 会 陌 生 ， 在 百 度 百 科 中 它 的 解 释 是 一 种 用 来 表 现 相 信 大 家 不 会 陌 生 ， 在 百 度 百 科 中 它 的 解 释 是 一 种 用 来 表 现 H T M L （ 标 准 通 用 标 记 语 言 的 一 个 应 用 ） 或 （ 标 准 通 用 标 记 语 言 的 一 个 应 用 ） 或 X M L （ 标 准 通 用 标 记 语 言 的 一 个 子 集 ） 等 文 件 样 式 的 计 算 机 语 言 。 （ 标 准 通 用 标 记 语 言 的 一 个 子 集 ） 等 文 件 样 式 的 计 算 机 语 言 。 那 么 ， 它 仅 仅 只 是 一 种 用 来 表 示 样 式 的 语 言 吗 ？ 当 然 不 是 ！ 其 实 早 在 几 年 前 ， C S S 就 已 被 安 全 研 究 人 员 运 用 于 渗 透 测 试 当 中 。 这 里 有 一 篇 文 章 就 为 我 们 详 细 介 绍 了 一 种 ， 使 用 属 性 选 择 器 和 i F r a m e ， 并 通 过 C S S 注 入 来 窃 取 敏 感 数 据 的 方 法 。 但 由 于 该 方 法 需 要 i F r a m e ， 而 大 多 数 主 流 站 点 都 不 允 许 该 操 作 ， 因 此 这 种 攻 击 方 法 并 不 实 用 。 这 里 我 将 为 大 家 详 细 介 绍 一 种 不 需 要 i f r a m e 且 只 需 1 0 秒 ， 就 能 为 我 们 有 效 地 窃 取 C S R F   t o k e n 的 方 法 一 旦 用 户 的 C S R F   t o k e n 被 窃 取 ， 由 于 受 害 者 已 经 在 攻 击 者 的 网 站 上 ， 因 此 攻 击 者 可 以 继 续 攻 击 并 完 成 对 用 户 的 C S R F 攻 击 操 作 。 背 景 背 景 正 如 原 文 所 描 述 的 那 样 ， C S S 属 性 选 择 器 开 发 者 可 以 根 据 属 性 标 签 的 值 匹 配 子 字 符 串 来 选 择 元 素 。   这 些 属 性 值 选 择 器 可 以 做 以 下 操 作 ： 如 果 字 符 串 以 子 字 符 串 开 头 ， 则 匹 配 如 果 字 符 串 以 子 字 符 串 结 尾 ， 则 匹 配 如 果 字 符 串 在 任 何 地 方 包 含 子 字 符 串 ， 则 匹 配 属 性 选 择 器 能 让 开 发 人 员 查 询 单 个 属 性 的 页 面 H T M L 标 记 ， 并 且 匹 配 它 们 的 值 。 一 个 实 际 的 用 例 是 将 以 “ h t t p s : / / e x a m p l e . c o m ” 开 头 的 所 有 h r e f 属 性 变 为 某 种 特 定 的 颜 色 。 而 在 实 际 环 境 中 ， 一 些 敏 感 信 息 会 被 存 放 在 H T M L 标 签 内 。 在 大 多 数 情 况 下 C S R F   t o k e n 都 是 以 这 种 方 式 被 存 储 的 ： 即 隐 藏 表 单 的 属 性 值 中 。 这 使 得 我 们 可 以 将 C S S 选 择 器 与 表 单 中 的 属 性 进 行 匹 配 ， 并 根 据 表 单 是 否 与 起 始 字 符 串 匹 配 ， 加 载 一 个 外 部 资 源 ， 例 如 背 景 图 片 ， 来 尝 试 猜 测 属 性 的 起 始 字 母 。 通 过 这 种 方 式 ， 攻 击 者 可 以 进 行 逐 字 猜 解 并 最 终 获 取 到 完 整 的 敏 感 数 值 。 想 要 解 决 这 个 问 题 受 害 者 可 以 在 其 服 务 器 实 施 内 容 安 全 策 略 （ C S P ） ， 防 止 攻 击 者 从 外 部 加 载 C S S 代 码 。 无 无   i F r a m e s 要 做 到 无 i F r a m e ， 我 将 使 用 一 种 类 似 于 之 前 我 讨 论 过 的 方 法 ： 我 将 创 建 一 个 弹 窗 ， 然 后 在 设 置 计 时 器 后 更 改 弹 出 窗 口 的 位 置 。 使 用 这 种 方 法 ， 我 仍 然 可 以 加 载 受 害 者 的 C S S ， 但 我 不 再 依 赖 于 受 害 者 是 否 允 许 i F r a m e 。 因 为 最 初 的 弹 出 是 通 过 用 户 事 件 触 发 的 ， 所 以 我 并 没 有 被 浏 览 器 阻 止 。 为 了 强 制 重 载 ， 我 在 C S S 注 入 间 弹 出 一 个 虚 拟 窗 口 ， 如 下 ：
在 C u r e S e c 的 文 章 中 描 述 了 将 数 据 传 输 到 后 端 服 务 器 ， 但 由 于 C S R F 是 针 对 客 户 端 的 攻 击 ， 因 此 如 果 我 们 能 想 出 一 种 不 需 要 服 务 器 的 方 法 ， 那 么 就 可 以 为 我 们 节 省 大 量 的 开 销 和 简 化 我 们 的 操 作 。 为 了 接 收 受 害 者 客 户 端 加 载 资 源 ， 我 们 可 以 利 用 S e r v i c e   W o r k e r s 来 拦 截 和 读 取 请 求 数 据 。 S e r v i c e   W o r k e r s 目 前 只 适 用 于 同 源 请 求 ， 在 我 的 演 示 中 受 害 者 和 攻 击 者 页 面 已 处 于 同 一 源 上 。 不 过 不 久 后 ， c h r o m e 很 可 能 会 合 并 这 个 实 验 性 的 功 能 ， 允 许 S e r v i c e   W o r k e r s 拦 截 跨 域 请 求 。 这 样 ， 就 可 以 确 保 我 们 在 客 户 端 的 攻 击 1 0 0 % 的 执 行 ， 并 强 制 用 户 在 1 0 秒 内 点 击 链 接 执 行 C S R F 攻 击 ， 演 示 如 下 ： D e m o 如 上 所 述 ， 因 为 我 并 不 想 运 行 一 个 w e b 服 务 器 ， 所 以 我 使 用 s e r v i c e   w o r k e r s 拦 截 和 模 拟 服 务 器 端 组 件 。 目 前 ， 该 演 示 只 适 用 于 C h r o m e 浏 览 器 。 首 先 ， 我 创 建 了 一 个 易 受 攻 击 的 目 标 ， 它 存 在 一 个 基 于 D O M 的 C S S 注 入 漏 洞 ， 并 在 页 面 放 置 了 一 个 敏 感 t o k e n 。 我 还 对 脚 本 标 签 添 加 了 一 些 保 护 措 施 ， 对 左 尖 括 号 和 右 尖 括 号 进 行 了 编 码 。 接 下 来 ， 我 们 将 强 制 加 载 受 害 者 的 C S S ， 并 且 使 用 上 述 方 法 ， 可 一 次 窃 取 （ 猜 解 ） 一 个 敏 感 字 符 。 在 接 收 端 ， 我 已 经 定 义 了 一 个 拦 截 请 求 的 s e r v i c e   w o r k e r ， 并 通 过 p o s t - m e s s a g e 将 它 们 发 送 回 域 ， 然 后 我 们 将 t o k e n 存 储 在 本 地 存 储 中 以 供 后 续 使 用 。 你 也 可 以 想 象 一 个 后 端 W e b 服 务 器 ， 通 过 W e b 套 接 字 或 轮 询 将 C S R F   t o k e n 回 发 给 攻 击 者 域 。 目 前 该 测 试 仅 支 持 C H R O M E ： 【 阅 读 原 文 】 如 果 你 的 浏 览 器 支 持 的 话 ， 只 需 点 击 打 开 页 面 任 意 位 置 ， 你 将 看 到 C S R F   t o k e n 将 逐 一 被 猜 解 出 来 。 结 语 结 语 有 趣 的 是 ， 反 射 型 C S S 注 入 实 际 上 比 存 储 型 C S S 注 入 更 致 命 ， 因 为 存 储 型 C S S 注 入 需 要 一 个 服 务 器 在 受 害 者 渲 染 之 前 来 更 新 C S S 。 一 段 时 间 以 来 ， C S S 注 入 在 严 重 程 度 上 来 回 变 化 。 过 去 I E 浏 览 器 是 允 许 用 户 在 C S S 中 执 行 J a v a s c r i p t 代 码 的 。 这 个 演 示 也 从 某 种 程 度 上 表 明 了 C S S 注 入 ， 以 及 在 你 的 域 上 渲 染 不 受 信 任 的 C S S 仍 会 导 致 严 重 的 安 全 问 题 。 * 参 考 来 源 ： g i t h u b ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理