搜索

[14053] 2019-05-01_MicrosoftEdge和IE浏览器同源策略绕过漏洞分析

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2019-05-01_MicrosoftEdge和IE浏览器同源策略绕过漏洞分析 M i c r o s o f t   E d g e 和 I E 浏 览 器 同 源 策 略 绕 过 漏 洞 分 析 a l p h a l a b   F r e e B u f   2 0 1 9 - 0 5 - 0 1 一 、 前 言 一 、 前 言 最 近 爆 出 了 最 近 爆 出 了 I E 浏 览 器 和 浏 览 器 和 E d g e 浏 览 器 跨 域 获 取 敏 感 信 息 的 漏 洞 （ 绕 过 同 源 策 略 ） ， 不 过 并 未 被 微 软 承 认 ， 于 是 天 浏 览 器 跨 域 获 取 敏 感 信 息 的 漏 洞 （ 绕 过 同 源 策 略 ） ， 不 过 并 未 被 微 软 承 认 ， 于 是 天 融 信 阿 尔 法 实 验 室 进 行 了 一 系 列 深 度 测 试 ， 看 看 此 漏 洞 是 否 真 实 严 重 。 融 信 阿 尔 法 实 验 室 进 行 了 一 系 列 深 度 测 试 ， 看 看 此 漏 洞 是 否 真 实 严 重 。 二 、 知 识 扩 展 二 、 知 识 扩 展 为 了 大 家 能 够 更 流 畅 地 理 解 测 试 流 程 ， 我 们 先 来 了 解 下 什 么 是 同 源 策 略 和 跨 域 。 1 . 同 源 策 略 同 源 策 略 同 源 策 略 （ S O P ） 是 在 现 代 浏 览 器 中 实 现 的 安 全 功 能 ， 它 限 制 从 一 个 源 加 载 的 W e b 页 面 或 脚 本 与 来 自 另 一 个 源 的 资 源 交 互 ， 从 而 防 止 不 相 关 的 站 点 相 互 干 扰 。 也 就 是 说 ， 不 同 源 的 客 户 端 脚 本 在 没 有 明 确 授 权 的 情 况 下 ， 是 不 能 读 写 对 方 资 源 的 。 所 谓 同 源 就 是 指 域 名 、 协 议 、 端 口 都 相 同 ， U R L 由 协 议 、 域 名 、 端 口 和 路 径 组 成 ， 如 果 两 个 U R L 的 协 议 、 域 名 和 端 口 相 同 ， 则 表 示 他 们 同 源 。 相 反 ， 只 要 协 议 ， 域 名 ， 端 口 有 任 何 一 个 的 不 同 ， 就 被 当 作 是 跨 域 。 下 表 是 相 对 于 h t t p : / / w w w . t o p s e c . c o m . c n / a d m i n / i n d e x . h t m l 的 同 源 检 测 结 果 ： 2 . 跨 域 跨 域 跨 域 是 指 从 一 个 域 的 网 页 去 请 求 另 一 个 域 的 资 源 ， 比 如 从 h t t p : / / w w w . a . c o m 去 请 求 h t t p : / / w w w . b . c o m 的 资 源 ， 但 一 般 情 况 下 是 不 允 许 进 行 跨 域 的 。 因 为 前 面 我 们 说 过 ， 浏 览 器 受 同 源 策 略 的 影 响 ， 不 是 同 源 的 脚 本 不 能 操 作 其 他 源 下 面 的 对 象 ， 而 如 果 想 要 操 作 另 一 个 源 下 的 对 象 时 就 需 要 授 权 了 。 3 . 浏 览 器 为 什 么 一 定 要 有 同 源 策 略 呢 ？ 浏 览 器 为 什 么 一 定 要 有 同 源 策 略 呢 ？ 其 实 这 样 做 的 目 的 主 要 就 是 为 了 用 户 的 上 网 安 全 。 我 们 可 以 试 想 一 下 ， 如 果 没 有 同 源 策 略 的 情 况 。 比 如 一 个 恶 意 网 站 的 页 面 通 过 i f r a m e 嵌 入 了 银 行 的 登 录 页 面 （ 二 者 不 同 源 ） ， 在 用 户 登 录 银 行 的 时 候 恶 意 网 页 上 的 j a v a s c r i p t 脚 本 就 可 以 获 取 其 用 户 名 和 密 码 。 因 此 ， 有 了 同 源 策 略 ， 我 们 才 能 更 安 全 的 上 网 。
三 、 测 试 流 程 三 、 测 试 流 程 本 次 测 试 ， 我 是 通 过 在 本 地 搭 建 环 境 重 新 复 现 了 漏 洞 并 多 番 修 改 p o c 进 行 了 不 同 的 测 试 。 先 来 测 试 下 I E 浏 览 器 。 1 9 2 . 1 6 8 . 8 . 2 3 / t e s t . h t m l 这 里 有 一 处 重 定 向 ： M a i n . h t m l 主 要 p o c ， 这 里 是 漏 洞 触 发 的 对 象 p e r f o r m a n c e .   g e t E n t r i e s B y T y p e ， 在 E d g e 浏 览 器 中 是 p e r f o r m a n c e . g e t E n t r i e s ， 下 面 会 有 详 细 介 绍 ：   这 里 有 一 处 回 跳 h i s t o r y . h t m l ， 这 个 回 跳 的 作 用 是 返 回 重 新 刷 新 页 面 ， 不 然 只 能 获 取 预 先 设 定 好 的 u r l 。 请 求 m a i n . h t m l ， 可 以 看 到 弹 出 了 我 们 预 先 设 定 好 的 u r l ： s e t T i m e o u t ( f u n c t i o n ( ) { a l e r t ( p e r f o r m a n c e .   g e t E n t r i e s B y T y p e   ( " r e s o u r c e " ) [ 0 ] . n a m e ) } , 4 0 0 0 ) ;
此 时 ， 上 图 中 的 弹 出 的 U R L 不 等 同 于 1 9 2 . 1 6 8 . 6 . 2 3   这 个 源 ， 这 表 明 我 们 已 经 成 功 绕 过 浏 览 器 中 的 同 源 策 略 并 访 问 了 应 该 受 限 制 的 资 源 。 但 是 ， 这 有 什 么 用 ？ 因 为 我 们 只 是 能 获 取 到 预 先 设 定 的 u r l ， 并 没 有 特 别 有 用 的 信 息 ， 比 如 u s e r n a m e ， p a s s w o r d 等 。 别 着 急 ， 我 们 继 续 看 。 此 时 通 过 h i s t o r y . h t m l 重 新 刷 新 页 面 ， 也 就 是 h t s t o r y . b a c k ( ) 返 回 一 步 ， 这 里 接 下 来 会 重 新 跳 转 回 b l o g . t e p s e c . c o m . c n / ? s = p h p 这 个 页 面 ， 然 后 我 们 点 击 S e a r c h 进 行 搜 索 ， 在 搜 索 框 中 输 入 t o p s e c ， 现 在 让 我 们 看 下 效 果 ：   可 以 看 到 成 功 获 取 到 了 用 户 输 入 的 信 息 t o p s e c ， 实 现 了 跨 域 获 取 敏 感 信 息 的 功 能 。 所 以 ， 现 在 我 们 可 以 得 出 个 结 论 ， 当 用 户 在 与 网 页 交 互 时 ， 我 们 可 以 利 用 此 漏 洞 来 获 取 交 互 时 的 U R L 信 息 ， 试 想 一 下 ， 如 果 用 户 的 敏 感 信 息 在 u r l 中 的 话 ， 比 如 某 网 站 的 登 陆 账 号 密 码 和 u r l 做 了 关 联 h t t p : / / f o o . c o m / u s e r n a m e = a d m i n & p a s s w o r d = a d m i n ， 或 者 其 他 敏 感 信 息 ， 那 么 危 害 就 非 常 大 了 。 同 时 不 仅 仅 是 输 入 ， 点 击 其 他 页 面 时 也 可 以 抓 到 整 个 u r l 信 息 ：
下 面 再 测 试 下 E d g e 浏 览 器 。 1 9 2 . 1 6 8 . 8 . 2 3 / t e s t . h t m l 还 是 这 个 没 有 变 ： M a i n . h t m l 这 里 修 改 的 地 方 有 两 处 ， 一 处 是 g e t E n t r i e s B y T y p e 变 成 g e t E n t r i e s ， 另 一 处 角 标 由 [ 0 ] 变 成 了 [ 2 ] ： 同 样 有 回 跳 跳 转 h i s t o r y . h t m l （ h i s t o r y . b a c k ） 。 访 问 m a i n . h t m l ， 可 以 看 到 和 I E 浏 览 其 一 样 同 样 弹 出 了 我 们 预 先 设 定 好 的 u r l 。 s e t T i m e o u t ( f u n c t i o n ( ) { a l e r t ( p e r f o r m a n c e .   g e t E n t r i e s ( " r e s o u r c e " ) [ 2 ] . n a m e ) } , 4 0 0 0 ) ;
但 是 和 I E 不 同 的 是 这 里 并 不 能 动 态 获 取 用 户 修 改 的 u r l ， 也 就 是 用 户 输 入 信 息 还 是 点 击 都 无 法 获 取 用 户 更 改 后 的 u r l 信 息 ， 始 终 是 弹 出 下 面 的 u r l ， 所 以 暂 时 判 断 在 E d g e 浏 览 器 下 此 漏 洞 并 没 有 什 么 危 害   。 最 后 ， 我 们 再 来 看 看 关 键 的 p e r f o r m a n c e . g e t E n t r i e s 这 个 a p i 有 哪 些 属 性 ， 从 下 图 可 以 看 到 有 四 个 属 性 ， 目 前 能 被 用 上 的 就 是 u r l 信 息 也 就 是 n a m e 属 性 。   这 里 修 改 下 n a m e 变 成 d u r a t i o n ， 弹 出 了 个 时 间 并 没 啥 用 处 ：                 ' u r l ' :   p e r f . n a m e ,                     ' e n t r y T y p e ' :   p e r f . e n t r y T y p e ,                     ' t y p e ' :   p e r f . i n i t i a t o r T y p e ,                   ' d u r a t i o n ( m s ) ' :   p e r f . d u r a t i o n
也 就 是 说 这 个 漏 洞 获 取 到 的 n a m e 属 性 也 就 是 u r l 还 有 些 利 用 价 值 ， 像 类 型 和 时 间 基 本 没 什 么 利 用 价 值 。   四 、 漏 洞 利 用 四 、 漏 洞 利 用 在 实 际 利 用 过 程 中 ， 攻 击 者 不 会 像 上 述 一 样 将 信 息 弹 出 来 显 示 给 受 害 者 ， 只 会 悄 悄 地 将 信 息 窃 取 。 我 们 简 单 修 改 下 P O C ， 模 拟 一 下 真 实 环 境 下 的 漏 洞 利 用 。 M a i n . h t m l   首 先 将 页 面 高 宽 进 行 调 整 使 其 看 起 来 真 实 一 些 ， 而 不 仅 仅 是 那 一 小 块 ， 然 后 将 a l e r t 弹 出 信 息 的 方 式 改 为 通 过 访 问 c o o k i e . p h p 将 信 息 发 送 至 攻 击 者 服 务 器 。   c o o k i e . p h p 现 在 来 访 问 下 M a i n . h t m l ：  
打 开 页 面 后 进 行 随 意 搜 索 或 点 击 ， 然 后 来 看 1 9 2 . 1 6 8 . 8 . 2 3 服 务 器 下 的 l o g . t x t 文 件 ： U R L 信 息 都 发 送 到 了 攻 击 者 的 服 务 器 下 。 五 、 结 语 五 、 结 语 从 测 试 情 况 来 看 ， 漏 洞 危 害 性 还 是 很 大 的 ， 好 在 这 个 刷 新 的 功 能 会 被 用 户 所 察 觉 。 所 以 还 是 在 补 丁 未 修 补 之 前 ， 不 要 使 用 I E 和 E d g e 浏 览 器 浏 览 网 页 和 点 击 不 明 链 接 。   * 本 文 作 者 ： 本 文 作 者 ： a l p h a l a b ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理