搜索

[14947] 2020-01-06_FirefoxforiOS浏览器的二维码扫码XSS漏洞

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2020-01-06_FirefoxforiOS浏览器的二维码扫码XSS漏洞 F i r e f o x   f o r   i O S 浏 览 器 的 二 维 码 扫 码 X S S 漏 洞 c l o u d s   F r e e B u f   2 0 2 0 - 0 1 - 0 6 在 手 机 中 ， 我 们 通 常 访 问 一 个 网 站 的 做 法 是 打 开 浏 览 器 在 在 手 机 中 ， 我 们 通 常 访 问 一 个 网 站 的 做 法 是 打 开 浏 览 器 在 地 址 栏 中 输 入 网 站 地 址 ， 一 般 来 说 这 样 的 方 法 有 些 烦 人 ， 所 以 ， 有 些 网 站 访 问 对 象 通 常 也 会 生 成 一 个 二 维 码 图 片 ， 方 便 用 户 直 接 扫 码 访 问 ， 只 要 用 户 手 地 址 栏 中 输 入 网 站 地 址 ， 一 般 来 说 这 样 的 方 法 有 些 烦 人 ， 所 以 ， 有 些 网 站 访 问 对 象 通 常 也 会 生 成 一 个 二 维 码 图 片 ， 方 便 用 户 直 接 扫 码 访 问 ， 只 要 用 户 手 机 扫 码 就 能 跳 转 到 目 标 访 问 网 站 ， 或 是 把 相 应 信 息 显 示 在 用 户 手 机 中 。 几 乎 我 们 所 有 人 都 会 用 手 机 的 扫 码 功 能 ， 但 是 ， 你 是 否 想 过 ， 如 果 你 信 任 的 应 用 机 扫 码 就 能 跳 转 到 目 标 访 问 网 站 ， 或 是 把 相 应 信 息 显 示 在 用 户 手 机 中 。 几 乎 我 们 所 有 人 都 会 用 手 机 的 扫 码 功 能 ， 但 是 ， 你 是 否 想 过 ， 如 果 你 信 任 的 应 用 A P P 其 扫 码 功 能 出 现 安 全 错 误 ， 会 发 生 什 么 情 况 ？ 今 天 ， 我 们 就 来 谈 谈 其 扫 码 功 能 出 现 安 全 错 误 ， 会 发 生 什 么 情 况 ？ 今 天 ， 我 们 就 来 谈 谈 F i r e f o x   I O S   v 1 0 浏 览 器 中 的 扫 码 浏 览 器 中 的 扫 码 X S S 漏 洞 。 漏 洞 。 F i r e f o x   I O S 浏 览 器 说 明 浏 览 器 说 明 根 据 苹 果 应 用 商 店 的 说 明 ， F i r e f o x   I O S   v 1 0 中 加 入 了 更 多 新 东 西 ， 极 简 的 用 户 界 面 ， 可 以 隐 藏 多 余 显 示 图 片 ， 增 加 了 一 个 二 维 码 扫 码 功 能 ， 能 突 出 显 示 浏 览 记 录 和 最 新 资 讯 。 也 就 是 说 ， 从 F i r e f o x   I O S   v 1 0 开 始 ， 火 狐 手 机 浏 览 器 加 入 了 二 维 码 扫 码 功 能 ， 其 中 使 用 了 W e b K i t   w e b   v i e w 组 件 来 加 载 内 容 ， 其 余 的 为 S W I F T 架 构 ， 包 含 在 F i r e f o x 的 漏 洞 众 测 范 围 之 内 。 以 下 为 F i r e f o x   I O S   v 1 0 扫 码 访 问 网 站 的 一 个 动 图 ： 用 用 j a v a s c r i p t   U R I 构 造 构 造 X S S 所 以 ， 这 里 如 何 来 发 现 其 扫 码 功 能 的 漏 洞 呢 ？ 首 先 我 想 到 的 就 是 构 造 一 个 j a v a s c r i p t   U R I 形 式 去 替 代 二 维 码 中 的 U R L ， 看 看 扫 码 功 能 如 何 判 断 ， 是 否 会 把 它 当 成 正 常 的 文 本 ， 还 是 会 当 成 j a v a s c r i p t 代 码 去 执 行 。 我 们 试 试 看 。 在 这 里 ， 我 们 用 到 了 一 个 很 好 的 二 维 码 生 成 网 站 h t t p s : / / w w w . t h e - q r c o d e - g e n e r a t o r . c o m / ， 在 其 中 输 入 你 的 内 容 就 能 自 动 生 成 一 个 二 维 码 。 因 此 ， 我 们 输 入 以 下 j a v a s c r i p t   U R I 形 式 内 容 看 看 ： j a v a s c r i p t : f e t c h ( ' / ' ) . t h e n ( r e s = > r e s . t e x t ( ) ) . t h e n ( d a t a = > a l e r t ( d a t a ) ) ; j a v a s c r i p t : a l e r t ( d o c u m e n t . b o d y . i n n e r H T M L ) ; 以 上 这 两 个 j a v a s c r i p t   U R I 功 能 为 获 取 用 户 之 前 最 后 在 浏 览 器 中 浏 览 过 的 网 站 信 息 。 所 以 ， 假 设 有 这 么 一 种 情 况 ， 当 前 用 户 处 于 浏 览 g o o g l e . c o m 的 状 态 ， 但 他 通 过 F i r e f o x 扫 码 想 访 问 另 一 网 站 ， 那 么 ， 如 果 扫 码 的 嵌 入 内 容 是 我 们 上 述 的 j a v a s c r i p t   U R I ， 那 么 当 他 一 扫 码 就 会 跳 出 其 访 问 g o o g l e . c o m 的 一 些 相 关 信 息 来 。 试 试 ， 确 实 可 以 ， 具 体 如 下 ： 所 以 ， 这 样 一 来 ， 既 然 能 在 这 个 点 上 完 成 j a v a s c r i p t   代 码 执 行 ， 恶 意 攻 击 者 也 就 能 用 它 窃 取 用 户 c o o k i e 或 其 他 相 关 信 息 了 。 这 种 攻 击 范 围 不 仅 只 限 于 网 站 地 址 访 问 可 以 用 它 来 实 现 多 种 攻 击 场 景 ， 如 浏 览 器 的 阅 读 模 式 。 浏 览 器 阅 读 模 式 下 的 浏 览 器 阅 读 模 式 下 的 X S S 漏 洞 触 发 漏 洞 触 发 阅 读 模 式 是 浏 览 器 提 供 给 用 户 的 一 种 极 简 阅 读 体 验 ， 在 这 种 模 式 的 加 载 过 程 中 ， 浏 览 器 会 剔 除 掉 一 些 不 必 要 的 代 码 、 框 架 、 其 它 嵌 入 元 素 的 渲 染 以 及 广 告 的 干 扰 。 同 样 ， 我 用 之 前 生 成 的 形 式 看 看 是 否 能 在 阅 读 模 式 下 实 现 X S S ， 确 实 可 以 ：
其 中 在 代 码 执 行 后 会 跳 出 h t t p : / / l o c a l h o s t : 6 5 7 1 ， 这 是 j a v a s c r i p t 的 w i n d o w . l o c a t i o n . h r e f 的 用 法 ， 可 以 构 造 成 这 样 的 跳 转 链 接 ： h t t p : / / l o c a l h o s t : 6 5 7 1 / r e a d e r - m o d e / p a g e ? u r l = h t t p s : / / w w w w . a n y s i t e . c o m 在 最 后 加 入 任 意 网 站 U R L 就 能 配 合 其 它 漏 洞 进 行 利 用 ， 形 成 对 用 户 信 息 的 进 一 步 威 胁 。 本 地 文 件 加 载 过 程 的 本 地 文 件 加 载 过 程 的 X S S 触 发 触 发 可 以 用 该 漏 洞 来 触 发 一 些 手 机 本 地 的 文 件 加 载 ， 扫 码 后 ， 就 有 加 载 本 地 文 件 ， 以 f i l e : / / / t e s t . h t m l 为 例 ： 内 联 页 面 加 载 过 程 的 内 联 页 面 加 载 过 程 的 X S S 触 发 触 发 在 伪 协 议 i n t e r n a l : / / 页 面 加 载 过 程 中 形 成 X S S   ， 如 ：
C S P 绕 过 绕 过 该 漏 洞 同 样 可 以 用 来 绕 过 C S P 限 制 ， 比 如 某 个 网 站 只 限 于 访 问 来 自 它 自 身 的 内 容 ， 如 以 下 代 码 场 景 ： 所 以 即 使 是 这 样 的 限 制 ， 我 们 构 造 的 二 维 码 j a v a s c r i p t 代 码 也 可 以 无 限 制 运 行 。 其 它 场 景 其 它 场 景 还 可 以 在 页 面 选 定 文 本 的 查 找 中 ， 如 果 选 定 文 本 是 j a v a s c r i p t   U R I 形 式 ， 那 么 F i r e f o x 手 机 浏 览 器 就 会 执 行 其 中 的 j s 代 码 ， 但 这 种 利 用 危 害 较 小 ， 只 会 显 示 一 个 错 误 加 载 框 ， 但 好 在 还 可 以 用 它 来 把 用 户 导 向 其 它 恶 意 网 站 。 其 它 浏 览 器 的 该 漏 洞 情 况 其 它 浏 览 器 的 该 漏 洞 情 况 除 了 F i r e f o x ， O p e r a   m i n i   f o r   I O S 也 存 在 上 述 X S S 漏 洞 ， 我 们 已 经 及 时 告 知 了 O p e r a 官 方 ， 但 他 们 目 前 为 止 还 未 给 出 回 应 。 漏 洞 原 因 分 析 漏 洞 原 因 分 析 / /   t e s t . p h p         < ? p h p         h e a d e r ( " C o n t e n t - S e c u r i t y - P o l i c y :   d e f a u l t - s r c   ' s e l f ' " ) ;         i f ( i s s e t ( $ _ G E T [ ' x s s ' ] ) )   {                 e c h o   $ _ G E T [ ' x s s ' ] ;         }         ? >
从 v 1 0 一 直 到 v 1 9 版 本 ， F i r e f o x   都 在 地 址 栏 中 支 持   j a v a s c r i p t   U R I   调 用 ， 这 样 就 存 在 上 述 X S S 可 能 。 经 上 报 给 F i r e f o x 之 后 ， 他 们 及 时 从 地 址 栏 中 删 除 了 j a v a s c r i p t U R I 功 能 ， 漏 洞 也 获 得 C V E - 2 0 1 9 - 1 7 0 0 3 的 分 配 。 * 参 考 来 参 考 来 源 ： 源 ： p a y a t u ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理