搜索

[12851] 2018-06-20_看我如何发现Chrome浏览器阅读辅助插件SOP绕过漏洞

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2018-06-20_看我如何发现Chrome浏览器阅读辅助插件SOP绕过漏洞 看 我 如 何 发 现 C h r o m e 浏 览 器 阅 读 辅 助 插 件 S O P 绕 过 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 0 6 - 2 0 本 文 讲 述 的 是 作 者 发 现 谷 歌 浏 览 器 本 文 讲 述 的 是 作 者 发 现 谷 歌 浏 览 器 C h r o m e 阅 读 辅 助 插 件 （ 阅 读 辅 助 插 件 （ R e a d & W r i t e   C h r o m e   e x t e n s i o n ） ） 1 . 8 . 0 . 1 3 9 版 本 同 源 版 本 同 源 策 略 （ 策 略 （ S O P ） 绕 过 漏 洞 的 过 程 。 该 漏 洞 在 于 ） 绕 过 漏 洞 的 过 程 。 该 漏 洞 在 于 R e a d & W r i t e 插 件 缺 少 对 正 常 交 互 网 页 请 求 源 的 安 全 检 查 ， 导 致 任 插 件 缺 少 对 正 常 交 互 网 页 请 求 源 的 安 全 检 查 ， 导 致 任 意 网 页 都 可 以 调 用 意 网 页 都 可 以 调 用 R e a d & W r i t e 插 件 的 后 台 特 权 页 面 插 件 的 后 台 特 权 页 面 A P I 来 执 行 多 种 存 在 风 险 的 操 作 。 由 于 该 版 本 插 件 的 在 线 下 来 执 行 多 种 存 在 风 险 的 操 作 。 由 于 该 版 本 插 件 的 在 线 下 载 使 用 量 较 大 ， 在 漏 洞 上 报 前 估 计 有 八 百 万 用 户 受 到 影 响 。 载 使 用 量 较 大 ， 在 漏 洞 上 报 前 估 计 有 八 百 万 用 户 受 到 影 响 。 漏 洞 介 绍 漏 洞 介 绍 比 如 ， 利 用 名 为   “ t h G e t V o i c e s ” 方 法 的 后 台 A P I 调 用 方 式 ， 可 以 用 插 件 执 行 一 个 任 意 U R L 链 接 的 检 索 ， 并 用 p o s t M e s s a g e 方 式 来 进 行 响 应 通 信 。 通 过 这 种 方 式 的 A P I 恶 意 调 用 ， 攻 击 者 可 以 劫 持 R e a d & W r i t e 插 件 去 读 取 一 些 恶 意 且 未 经 验 证 的 会 话 数 据 。 作 为 验 证 ， 作 者 在 文 末 制 作 了 一 个 漏 洞 利 用 P o C 视 频 ， 在 安 装 了 存 在 该 漏 洞 的 R e a d & W r i t e 插 件 之 后 ， 在 进 行 应 用 操 作 时 ， 可 以 利 用 漏 洞 远 程 读 取 到 用 户 的 G m a i l 邮 箱 地 址 信 息 。 在 漏 洞 上 报 之 后 ， R e a d & W r i t e 插 件 开 发 方 T e x t h e l p 公 司 迅 速 修 复 了 漏 洞 ， 并 于 第 二 天 释 出 了 更 新 补 丁 。 目 前 ， 新 版 本 的 R e a d & W r i t e 插 件 已 不 存 在 该 漏 洞 。 漏 洞 分 析 漏 洞 分 析 C h r o m e 的 R e a d & W r i t e 插 件 利 用 名 为 “ i n j e c t . j s ” 的 G o o g l e 浏 览 器 内 置 脚 本 （ C o n t e n t   S c r i p t ） 来 向 诸 如 G o o g l e   D o c s 在 内 的 各 种 在 线 文 档 页 面 插 入 一 个 自 定 义 工 具 栏 ， 以 方 便 读 者 用 户 可 以 利 用 该 插 件 进 行 文 档 读 写 。 默 认 情 况 下 ， 此 脚 本 将 会 向 所 有 H T T P 和 H T T P S 源 执 行 插 入 ， 插 件 的 使 用 说 明 中 已 定 义 了 这 一 点 ：
在   “ i n j e c t . j s ”   脚 本 文 件 中 ， 存 在 一 个 事 件 监 听 函 数 a d d E v e n t L i s t e n e r ， 任 何 被 插 入   “ i n j e c t . j s ”   脚 本 文 件 的 交 互 网 页 ， 如 果 以 “ p o s t M e s s a g e ” 方 式 向 插 件 发 送 响 应 消 息 ， 都 能 被 该 函 数 捕 获 到 ： w i n d o w . a d d E v e n t L i s t e n e r ( “ m e s s a g e ” ,   t h i s . o n M e s s a g e ) 这 个 a d d E v e n t L i s t e n e r 函 数 还 会 调 用 另 一 个 名 为 “ t h i s . o n M e s s a g e ” 的 函 数 ， 该 函 数 用 于 处 理 任 意 发 往 页 面 窗 口 的 p o s t M e s s a g e 消 息 ： p o s t M e s s a g e ( )   方 法 ： w i n d o w . p o s t M e s s a g e ( )   方 法 可 以 安 全 地 实 现 跨 源 通 信 。 通 常 ， 对 于 两 个 不 同 页 面 的 脚 本 需 要 具 备 同 源 策 略 才 能 通 信 。 w i n d o w . p o s t M e s s a g e ( )   方 法 被 调 用 时 ， 会 在 所 有 页 面 脚 本 执 行 完 毕 之 后 （ e . g . ,   在 该 方 法 之 后 设 置 的 事 件 、 之 前 设 置 的 t i m e o u t   事 件 , e t c . ） 向 目 标 窗 口 派 发 一 个   M e s s a g e E v e n t   消 息 。 该 M e s s a g e E v e n t 消 息 有 四 个 属 性 需 要 注 意 ：   m e s s a g e   属 性 表 示 该 m e s s a g e   的 类 型 ；   d a t a   属 性 为 w i n d o w . p o s t M e s s a g e   的 第 一 个 参 数 ； o r i g i n   属 性 表 示 调 用 w i n d o w . p o s t M e s s a g e ( )   方 法 时 调 用 页 面 的 当 前 状 态 ；   s o u r c e   属 性 记 录 调 用   w i n d o w . p o s t M e s s a g e ( )   方 法 的 窗 口 信 息 。 在 上 述 代 码 中 ， 可 以 看 到 o n M e s s a g e ( ) 会 把 所 有 接 收 到 的 p o s t M e s s a g e 消 息 通 过 “ c h r o m e . e x t e n s i o n . s e n d R e q u e s t ” 方 法 发 送 到 R e a d & W r i t e 插 件 的 后 台 页 面 。 另 外 ， 对 这 些 消 息 的 响 应 将 传 递 回 o n M e s s a g e ( ) 函 数 ， 然 后 再 通 过 其 传 递 回 W e b 页 面 中 去 。 这 个 过 程 ， 实 际 上 就 在 正 常 的 W e b 访 问 页 面 和 R e a d & W r i t e 插 件 后 面 之 间 形 成 了 一 个 代 理 机 制 。 从 R e a d & W r i t e 插 件 的 使 用 说 明 中 ， 可 以 发 现 R e a d & W r i t e 插 件 中 存 在 很 多 后 台 页 面 ：
虽 然 存 在 以 上 这 么 多 后 台 页 面 进 行 消 息 侦 听 和 函 数 调 用 ， 我 们 选 取 其 中 一 个 可 漏 洞 利 用 的 即 可 ， 我 们 就 来 看 看 页 面 “ b a c k g r o u n d . j s ” 吧 ： 上 述 代 码 显 示 ， “ c h r o m e . e x t e n s i o n . o n R e q u e s t ”   . a d d L i s t e n e r 监 听 器 被 触 发 时 ， 其 内 部 的 “ m e t h o d ”   参 数 会 被 设 置 成 “ t h G e t V o i c e s ” ， “ t y p e ” 参 数 则 被 设 置 为 “ 1 7 5 7 F R O M _ P A G E R W 4 G ” 。 如 果 这 个 触 发 事 件 中 的 “ p a y l o a d . r e f r e s h ” 参 数 为 “ t r u e ”   ， 则 其 中 的 X M L H T T P R e q u e s t 会 被 请 求 响 应 为 代 号 为 2 0 0 的 状 态 码 。 漏 洞 利 用 漏 洞 利 用 利 用 上 述 方 式 的 恶 意 调 用 ， 我 们 能 向 R e a d & W r i t e 插 件 的 后 台 页 面 发 送 一 个 带 有 任 意 U R L 链 接 的 消 息 ， 该 消 息 最 终 会 通 过 H T T P 方 式 进 行 响 应 ， 这 样 ， 我 们 就 能 通 过 这 种 方 式 读 取 用 户 c o o k i e 信 息 ， 从 而 也 可 利 用 任 意 网 页 加 载 P a y l o a d 去 窃 取 其 它 不 同 W e b 源 中 的 用 户 内 容 。 以 下 就 是 一 个 跨 域 的 信 息 窃 取 P a y l o a d ：
上 述 P a y l o a d 代 码 显 示 ， 可 以 利 用 该 漏 洞 去 读 取 跨 域 响 应 信 息 。 这 种 情 况 下 ， 我 们 用 G m a i l 的   “ S i m p l e   H T M L ” 服 务   来 作 示 例 。 整 个 的 漏 洞 利 用 方 法 就 比 较 简 单 直 接 了 ： 把 上 面 这 个 P a y l o a d 代 码 托 管 在 任 意 网 站 上 ， 安 装 了 存 在 该 漏 洞 的 R e a d & W r i t e 插 件 用 户 ， 只 要 登 录 进 入 G m a i l 邮 箱 ， 我 就 可 以 用 上 述 P a y l o a d 来 读 取 到 用 户 的 相 关 G m a i l 邮 箱 内 信 息 。 整 个 过 程 是 通 过 之 前 我 们 说 明 的 ， 以 恰 当 的 P a y l o a d 设 置 形 成 p o s t M e s s a g e 消 息 ， 并 结 合 消 息 响 应 的 事 件 监 听 方 式 来 实 现 的 。 由 于 R e a d & W r i t e 插 件 会 向 所 有 H T T P 和 H T T P S 的 W e b 页 面 执 行 应 用 插 入 ， 所 以 ， 在   J a v a S c r i p t   P r o m i s e s   异 步 编 程 方 式 下 ， 可 以 通 过 “ e x p l o i t _ g e t ( ) ” 函 数 能 窃 取 到 用 户 经 过 认 证 的 任 意 访 问 过 的 页 面 数 据 信 息 （ 这 里 假 设 无 需 特 殊 H e a d e r 标 头 ， 能 通 过 H T T P   G E T 方 式 进 行 访 问 的 页 面 ） P r o m i s e   ： 是 异 步 编 程 的 一 种 解 决 方 案 ， 比 传 统 的 解 决 方 案 — — 回 调 函 数 和 事 件 — — 更 合 理 和 更 强 大 。 所 谓 P r o m i s e ， 简 单 说 就 是 一 个 容 器 ， 里 面 保 存 着 某 个 未 来 才 会 结 束 的 事 件 （ 通 常 是 一 个 异 步 操 作 ） 的 结 果 。 从 语 法 上 说 ， P r o m i s e   是 一 个 对 象 ， 从 它 可 以 获 取 异 步 操 作 的 消 息 。 P r o m i s e   提 供 统 一 的   A P I ， 各 种 异 步 操 作 都 可 以 用 同 样 的 方 法 进 行 处 理 。 目 前 ， P r o m i s e   已 获 得   J a v a S c r i p t   的 原 生 支 持 ， 能 很 好 兼 容 J a v a S c r i p t 编 程 应 用 。 虽 然 上 面 的 示 例 引 用 了 “ t h G e t V o i c e s ” 后 台 方 法 调 用 ， 但 这 只 是 这 些 后 台 页 面 A P I 调 用 时 出 现 的 一 种 漏 洞 利 用 方 式 。 除 了 使 用 这 种 调 用 之 外 ， 还 存 在 其 它 一 些 可 以 利 用 的 漏 洞 方 法 ： 如 攻 击 者 还 能 利 用   “ t h E x t B G A j a x R e q u e s t ”   方 法 ， 结 合 参 数 来 执 行 “ a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ; c h a r s e t = U T F - 8 ”   这 类 型 任 意 的 P O S T 请 求 ， 并 读 取 消 息 响 应 内 容 还 有 ， 攻 击 者 也 能 利 用   “ O p e n T a b ” 方 法 来 打 开 大 量 网 页 标 签 来 限 制 用 户 的 W e b 页 面 访 问 P O C 验 证 视 频 如 下 ：
漏 洞 原 因 漏 洞 原 因 & 缓 解 措 施 缓 解 措 施 该 漏 洞 为 一 种 常 见 浏 览 器 插 件 安 全 隐 患 ， 谷 歌 的   C h r o m e   浏 览 器 为 了 更 方 便 地 与 插 件 A P I 之 间 进 行 通 信 交 互 ， 插 件 在 功 能 上 就 无 形 在 自 身 后 台 服 务 和 正 常 访 问 的 W e b 页 面 之 间 形 成 了 一 条 代 理 通 道 ， 主 要 原 因 在 于 很 多   C h r o m e   插 件 开 发 者 在 开 发 阶 段 ， 缺 乏 对 潜 在 敏 感 功 能 的 调 用 请 求 源 进 行 安 全 检 查 。 这 种 情 况 下 ， 一 种 理 想 的 解 决 方 法 就 是 把 大 部 份 逻 辑 处 理 操 作 放 到 C o n t e n t   S c r i p t 中 去 ， 不 用 p o s t M e s s a g e 方 式 调 用 ， 而 由 事 件 侦 听 函 数 按 照 A P I   i s T r u s t e d 属 性 的 适 当 验 证 来 进 行 触 发 。 这 样 可 以 确 保 所 有 调 用 都 是 由 用 户 操 作 触 发 的 ， 而 不 是 攻 击 者 伪 造 的 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 6 . 3 晚   向 T e x t h e l p 上 报 漏 洞 2 0 1 8 . 6 . 3 晚   T e x t h e l p 确 认 漏 洞   回 应 称 修 复 工 作 将 于 下 周 周 一 开 始 2 0 1 8 . 6 . 4   T e x t h e l p 推 出 修 复 补 丁 由 于 时 区 原 因 ， 时 间 上 可 能 有 些 出 入 ， T e x t h e l p 在 爱 尔 兰 的 开 发 团 队 其 实 在 6 月 2 号 就 收 到 漏 洞 ， 然 后 在 6 月 3 号 就 修 复 了 漏 洞 。 只 是 补 丁 在 6 月 4 号 释 出 ， 整 个 漏 洞 响 应 修 复 周 期 非 常 及 时 。 * 参 考 来 源 ： 参 考 来 源 ： t h e h a c k e r b l o g ， ， F r e e B u f   小 编 小 编   c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理