搜索

[14746] 2019-10-27_Tarnish：一款针对Chrome扩展的静态安全分析平台

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2019-10-27_Tarnish：一款针对Chrome扩展的静态安全分析平台 T a r n i s h ： 一 款 针 对 C h r o m e 扩 展 的 静 态 安 全 分 析 平 台 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 1 0 - 2 7 今 天 给 大 家 介 绍 的 是 一 个 名 叫 今 天 给 大 家 介 绍 的 是 一 个 名 叫 T a r n i s h 的 工 具 ， 的 工 具 ， T a r n i s h 是 一 个 是 一 个 C h r o m e 扩 展 静 态 分 析 工 具 ， 可 帮 助 研 究 人 员 对 扩 展 静 态 分 析 工 具 ， 可 帮 助 研 究 人 员 对 C h r o m e 扩 展 的 安 全 情 况 进 行 审 计 。 扩 展 的 安 全 情 况 进 行 审 计 。 T a r n i s h T a r n i s h 可 以 自 动 化 实 现 很 多 常 规 的 安 全 监 测 任 务 ， 并 且 可 以 帮 助 研 究 人 员 快 速 识 别 目 标 C h r o m e 扩 展 中 存 在 的 潜 在 安 全 漏 洞 。 如 果 你 嫌 麻 烦 ， 不 想 自 己 在 本 地 安 装 和 构 建 T a r n i s h 的 话 ， 你 可 以 直 接 使 用 T a r n i s h 的 线 上 版 本 来 对 目 标 C h r o m e 扩 展 进 行 安 全 检 测 。 工 具 下 载 工 具 下 载 如 果 你 不 想 使 用 线 上 版 本 ， 你 想 在 本 地 自 行 配 置 T a r n i s h 的 话 ， 可 以 直 接 使 用 g i t 命 令 将 项 目 源 码 从 G i t H u b 库 克 隆 至 本 地 ： h t t p s : / / g i t h u b . c o m / m a n d a t o r y p r o g r a m m e r / t a r n i s h . g i t T a r n i s h 运 行 截 图 运 行 截 图
功 能 介 绍 功 能 介 绍 研 究 人 员 可 以 直 接 将 任 意 C h r o m e 扩 展 的 链 接 地 址 （ C h r o m e   W e b 商 店 来 源 ） 拷 贝 到 T a r n i s h 的 扩 展 输 入 栏 中 来 进 行 安 全 审 计 。 m a n i f e s t . j s o n 查 看 器 ： 以 J S O N 数 据 格 式 显 示 扩 展 的 m a n i f e s t 文 件 内 容 。 指 纹 分 析 ： 检 测 w e b _ a c c e s s i b l e _ r e s o u r c e s ， 自 动 化 生 成 C h r o m e 扩 展 指 纹 （ J a v a S c r i p t ） 。 潜 在 的 点 击 劫 持 分 析 ： 检 测 设 置 了 w e b _ a c c e s s i b l e _ r e s o u r c e s 指 令 的 扩 展 h t m l 页 面 。 根 据 页 面 的 用 途 ， 判 断 页 面 是 否 容 易 受 到 点 击 劫 持 攻 击 。 权 限 警 告 ： 它 显 示 了 所 有 C h r o m e 权 限 提 示 警 告 的 列 表 ， 这 些 警 告 将 在 用 户 试 图 安 装 扩 展 时 显 示 。 可 能 存 在 漏 洞 的 函 数 ： 显 示 可 能 被 攻 击 者 利 用 的 危 险 函 数 的 位 置 （ 例 如 i n n e r H T M L 、 c h r o m e . t a b s . e x e c u t e s c r i p t 等 函 数 ） 。 入 口 点 ： 显 示 扩 展 接 受 用 户 / 外 部 输 入 的 位 置 ， 这 有 助 于 理 解 扩 展 的 潜 在 攻 击 面 ， 并 寻 找 潜 在 的 入 口 点 来 向 扩 展 发 送 恶 意 编 制 的 数 据 。 内 容 安 全 策 略 （ C S P ） 分 析 器 和 绕 过 检 查 器 ： 它 们 可 以 检 测 出 扩 展 中 C S P 的 弱 点 ， 并 提 供 绕 过 C S P 和 C D N 白 名 单 的 任 何 潜 在 方 法 。 已 知 易 受 攻 击 的 库 ： T a r n i s h 将 使 用 r e t i r e . j s 检 查 目 标 扩 展 中 是 否 使 用 了 已 知 的 易 受 攻 击 的 J a v a s c r i p t 库 。
项 目 地 址 项 目 地 址 T a r n i s h 源 码 ： 【 G i t H u b 传 送 门 】 T a r n i s h 线 上 版 本 ： 【 传 送 门 】 *   参 考 来 源 ： 参 考 来 源 ： t a r n i s h ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理