腾讯徐少培:浏览器地址栏之困

徐少培

徐少培,来自于腾讯玄武实验室的研究员,主要是从事Web安全研究以及浏览器安全研究(前端)。曾经和余弦合写了《Web前端黑客技术揭秘》。

本文通过徐少培三个Chrome地址栏漏洞,来总结一下地址栏上漏洞挖掘的思路和技巧,徐少培并提出如何深刻的理解地址栏之困,才能更好的挖掘地址栏上的漏洞的理论。

地址栏到底有多重要?

在现代浏览器当中,地址栏是唯一可靠的指示器。就是通俗的说,如果地址栏上出现了问题,后续我们所见到的Web页面,可信任的这些体系将全部崩塌。对于浏览器厂商,他们的主要任务是消除软件当中的缓冲区溢出漏洞。其次,如何帮助人们在上网的时候做出安全的决策。这个安全指示符(地址栏)就是他们在这上面所做的工作之一。

安全指示符

安全指示符,它的目的就在于如何表示当前网站的安全状态,比如说一个盾牌,一个小锁或者说一个其他的图标。常见的浏览器厂商是怎么设计它们的标识符的?Chrome就是一个绿色的小图标,这是一个灰色的大图标,Firefox也是绿色的,但是它的绿色的颜色跟Chrome还不太一样,Safari是一个小图标,还有一个盾牌,国内的浏览器可能是一个运行的地球。

这么多对同一个技术状态的描述,用了不同的指示符。谷歌2015年的时候做了一个调查,大家对地址栏上的指示符到底是不是真正的了解,在谷歌匿名调查的1329人当中,其中提出了两个问题。一,你对HTTPS网址,对左边的这个符号是否了解,如果是HTTP的话,你对HTTP左边的白色符号是否了解。最后的结果其实很尴尬,在访问的1329人当中,大部分人对于HTTPS这个指示符还知道。对于HTTP这个标识符,大部分人不知道答案。

URL

1994年的时候发布了第一个标准URL,在1998年的时候发布了扩充版RRI。2005年的时候发布了IRI,就是国际统一指示符。

网址到底是什么呢?是URL?是URI?是IRI?公认网址就是URL,而且URL目前维护的这一套标准,而且这个标准还提出,URL的解析,应该像HTML的解析一样坚固,不要有太多的歧义。

漏洞挖掘过程当中对URL有什么意义?

地址栏漏洞的关键因素就是URL。又分为协议、主机、端口、参数、目录几部分

协议分为本地协议,网络协议,注册的协议,比如说HTTP、HTPPS,这些协议容易出现安全问题。

主机,当浏览器地址很小,可以把主机的覆盖掉而显示前面伪装的多级域名主机。

对于端口,目前默认的端口是空,或者是无符号16位的一个整形。端口过多可以出现问题。

地址栏漏洞

什么是地址栏上的漏洞,这里所说的地址栏上的伪装漏洞就是URL Spoof,本质是Web最基本的安全边界。

Web当中最扎实,最有根基的就是同源策略,如果这个源被伪造,后续所有的安全体系将会全部崩塌。这个起源指的是什么呢?起源指的是协议加上主机,加上端口。

对于浏览器厂商,普通用户报货开发者都不关注源是什么,而倾向于主机是什么,所以在地址栏当中,只要伪造主机就可以了。你只要伪造了主机这一个字符串,你就可以说这是一个URL Spoof漏洞。

 

地址栏漏洞如何挖掘

此处用三个Chrome地址栏漏洞来分析地址栏上的漏洞应该如何挖掘

第一个漏洞。当用户点击了一个跳转到Gmail,由于Gmail的页面是攻击者伪装的。当你登录Gmail,输入用户名和密码,你的信息就被攻击者获取。

这个漏洞是如何实现的。

当用户点击这个按钮的时候,打开了一个页面,写下了一堆关键代码。这个代码是在当前页面用A标签自身又打开了一个窗口,导航到了一个地址这是一个畸形的URL,最后有两个冒号,就是浏览器基本上默认是无法去解析的,于是漏洞就触发了。这个畸形的URL会使浏览器发生了什么呢?

当Chrome浏览器运行到畸形的URL时,它允许去加载,这就是错误的开始。当加载了这个畸形的URL的时候,因为加载的是无效的地址,根本没有办法去访问。地址栏处于挂载的状态。加载反馈数据,就是浏览器加载的流程开始返回。因为你加载的是一个无效地址,只能返回一个空的页面,也就是说返回了一个空域。此时Chrome还处于挂起状态,于是会冒号完全隐藏掉并显示最后的地址。

第二个漏洞。这个协议是发生在Blog协议上,我简单说一下,Blog协议其实是一个二进制文件的容器,Blog URL允许外部应用程序安全的访问内存中二进制的文件,也就是说,对于内存中二进制文件的一个Blog引用。按理说安全同源策略来说,你不可能直接打开一个你不能控制域的Blog的URL,通过这个页面,从视觉感官上是成功打开了谷歌域的Blog的URL,其实是伪造的。

如何做到的?当你点击了这个按钮之后,其实首先打开了一个攻击者可控制域的Blog的URL,就是下面这个黄色的关键核心的。过了500毫秒之后,在这个页面上写入伪造内容。大家可以看到黄色的关键代码,@后面的域才是攻击者的域,就是我可控制的,而前面的那些都是伪造的。首先伪造了一个谷歌的字符串,后面进了大量的空白字符。浏览器遇到这样的字符串,这样的URL。10前来说这个是正常的URL,但是现在已经不允许了,我一会儿会说一下为什么。Chrome会怎么处理呢?Chrome其实犯了一个逻辑上非常严重的错误,他一直在对HTTP、HTTP做了很多限制,可能边缘化的协议没有太注意。其实它渲染了用户名和密码的部分,就是@符号前面的部分,按理说应该不会去渲染。就是你可以去解析,但是你在UI上显示的时候不能显示出来。因为一个URL的用户名和密码一旦被渲染,极有可能被用户认为是这个URL的主机。比如下面我列举的这个链接,如果直接全被渲染的话,@前面的字符串就有可能被认为是这个主机,也就是伪造了这个域名。

第三个漏洞。这个漏洞其实触发起来核心代码就是右键点击,出来了一个UI,当中会有一个你是不是从新窗口打开,。

抓包以后可以看到,其实在左边抓的,两个链接,其实都已经访问了,但是最终Chrome浏览器是停留在谷歌的网址上,但是页面内容是我的页面内容,可控制的,就造成了一个URL欺骗。这个Payload发生了什么?我们通过URL加载的过程来说一下,当你通过右键在新窗口打开,Chrome又允许加载一个无效的地址。当时在53版本的时候其实Chrome已经补了,当时不允许加载无效的网址,而且专门把这两个冒号标识出来了。但是没有补的时候,说通过不同的网站,不同的方式打开,通过右键去打开,可能导航又是另一套程序,这一块就没有考虑,还是可以加载google.com:的这样一个无效网址。加载以后,刚才我说的那一套流程又返回页面,把google.com:作为一个提交地址。其实到这里应该结束了,如果你在当前重定向到另外一个网上,不会更新当前的URL,URL还会停留在谷歌,其实你的内容已经重定向到了另一个网站的内容,于是又产生了一个URL的欺骗。

用户在一个网站页面,你不管是点击、拖放还是右键,去导航到另一个网站的时候。在这个过程当中,攻击者伪造了你的目的地的URL,其实相当于你就没有到达目的网站,你是困在了你在哪儿和你要去哪儿的这个中间。

浏览器地址栏其实是一个挺矛盾的个体,它提供两个相互竞争的角色,这两个角色就是你在哪儿和你要去哪儿,但是只能显示出其中的一个。而地址栏恰恰就困在这两个角色的转换之中,其实你没有真正的转换到你要去哪儿,就已经被攻击者伪造了你要去哪儿的那个网站了,就停留在那儿了。从视觉感官上来说,你也被困在里面了

对于地址栏上的指示符还需要进一步的优化,尽快的帮助人们上网的时候做出安全的决策。地址栏在处理常网址、多网址、畸形网址的时候,不是程序的问题,是自身的地址栏显示的逻辑问题。比如说只显示最左边或者是只显示最右边,少一些逻辑上明显的漏洞。现在浏览器屏幕会越来越小,大家用到的手机,地址栏上的UI可以说是寸像素必争了。又要提供安全性,又要显示你是HTTPS是加密的,还要显示出来正确的源是什么等等,估计空间也不够。所以在如何处理安全性和用户体验上,我觉得可能会是一个非常重要的挑战。最关键的就是大家能记住我这一页,如果挖漏洞的话,记住如何深刻的理解地址栏之困,在地址栏上能够如何有效的开展漏洞挖掘工作,也是我们进一步思考的问题。

上一篇:ADLAB朱钱杭(大菠萝):其实它们近在咫尺

下一篇:安恒郑国祥:strust2漏洞挖掘经验分享