Phish Bombaları ile Safari 4 En İyi Siteleri Ele Geçirmek

Bu, Safari 4 Beta'yı (v528.16) değerlendirirken bulduğum ilginç bir mesele. Bu, bir site güvenlik açığı gerektiren her zamanki XSS veya CSRF hatanız değil, 4.0.2 ve önceki sürümleri kullanan tüm Safari 4 kullanıcılarını etkileyen kalıcı bir tarayıcı arka kapısıdır. Apple'ın son sürümü tarafından sunulan bazı yeni özelliklere oldukça şaşırdım’tarayıcısı, özellikle de En iyi siteler ve Kapak Akışı. Bu harika özelliği hacklemeye karar verdim. İşte bulduğum şey.


SECURETHOUGHTS.COM DANIŞMANLIĞI
- CVE-ID: CVE-2009-2196
- Çıkış Tarihi: 11 Ağustos 2009
- Keşfedilen: Inferno

İNCİNEBİLİR

Safari 4 tüm sürümler < 4.0.3
Etkilenen platformlar - Mac OS Xv10.4.11, Mac OS X Server v10.4.11, Mac OS Xv10.5.7, Mac OS X Server v10.5.7, Windows XP ve Vista

ARKA FON

Safari, Apple Inc. tarafından geliştirilen bir web tarayıcısıdır. Mac OS X v10.3 ve sonraki sürümlerinde varsayılan tarayıcıdır. Microsoft Windows platformu için Safari ilk olarak 11 Haziran 2007'de yayınlandı ve şu anda hem Windows XP'yi hem de Windows Vista'yı destekliyor. Tarayıcının mevcut kararlı sürümü Mac OS X ve Windows için 4.0.3'tür. (Kaynak - Wikipedia).

Safari 4, bir kullanıcıya bir bakışta bakış sağlamak için En İyi Siteler özelliğini tanıttı’s favori web siteleri. Safari 4'ün en çok kullanılan özelliğidir ve kullanıcılar tarafından bankalarını, e-posta hesaplarını, alışveriş sitelerini vb. İçeren sık kullanılan sitelerine hızlı bir şekilde atlamak için yaygın olarak kullanılır..

AÇIKLAMA

Kötü amaçlı bir web sitesinin, otomatikleştirilmiş eylemlerle En İyi Siteler görünümünüze rastgele siteler yerleştirmesi mümkündür. Saldırı tekniği, saldırganın En İyi Siteler listenize eklemek istediği farklı sitelere tekrar tekrar göz atmak için küçük bir pencerede kullanılan javascript pencerelerini kullanır. Bu pencere window.blur işlevi kullanılarak tamamen gizlenir ve kullanıcı kazanır’bunun arka planda olduğunu bilmiyorum. Safari, En İyi Siteler içeriğine karar vermek için iframe URL'lerini kullanmadığından bu saldırının görünmez iframe'lerin kullanılması mümkün olmadığını lütfen unutmayın..

Saldırı işlemi tamamladığında, küçük pencere kapanır ve Safari En İyi Sitelerini bir sonraki kullanışınızda, saldırganın’nin tanımlı siteleri mevcut yasal sitelerinizin yerini alır. Hangi sitelerin yerini alacağına karar vermek için, bir saldırgan ilk olarak Jeremiah Grossman [2] tarafından bulunan CSS Geçmiş Hack'ini kullanabilir ve ardından bu kullanıcıya göre sahte siteler ayarlayabilir’s web sitelerini ziyaret etti. Bu nedenle, bu ciddi bir kimlik avı saldırısını kolayca kolaylaştırabilir. Durum Safari tarafından daha da kötüleşiyor’URL [3] 'de vurgulandığı gibi URL gizleme saldırılarına karşı yetersiz koruma, normal bir kullanıcının sahte siteyi tespit etmesini ve yasal siteden ayırt edilmesini neredeyse imkansız hale getirir..

KAVRAMIN İSPATI

https://securethoughts.com/b/q.htm
PoC şu anda bir dakikadan az bir sürede çalışmakta ve bu da çoğu tutucu giriş parametresi değerine dayanmaktadır.

Bu saldırıdaki iki giriş parametresi, sahte web sitesinin kaç kez ziyaret edilmesi gerektiği (n) (varsayılan = 28) ve iki sahte web sitesi arasında geçişi tetikleyen zaman aşımı (t) (varsayılan = 2 sn) sayısıdır. Çok basit ve en iyi sitelere bankofamerica.com ve gmail.com için iki sahte web sitesi ekler. (tarayıcı geçmişinizi kontrol etmez, ancak bu okuyucu için bir alıştırma olarak bırakılır :):) ). Ayrıca, parametre değerini artırmanız gerekebilir. ‘n’ favori sitelerinizi çok sık ziyaret ediyorsanız.

Gerçek dünya hack'leme senaryosu şöyle görünecektir:

1. Saldırgan kötü amaçlı javascript ekler.
(a) Kötü sitesi VEYA
(b) Javascript'e izin veren yasal bir sitede (örneğin, bülten panoları, gösterge tabloları, vb.).

2. Kurban yukarıdaki siteyi ziyaret eder.

3. Kötü amaçlı javascript çalışır ve ilk olarak Alexa Top 500 listesinden tarayıcı geçmişini (CSS geçmiş kesmek [2] kullanarak) kontrol eder.

4. Saldırgan kullanıcının yerini alır’Sahte kimlik avı siteleri olan ziyaret edilen siteler (URL gizleme ile yasal sondaj adları oluşturur).

5. Kullanıcı bir kimlik avı sitesi her açtığında ve bir giriş sayfası aldığında,’s kimlik bilgileri çalınır. Saldırgan, kullanıcıdan daha sonra tekrar denemesini isteyen bir oturum açma hata mesajı görüntüler. Aynı zamanda saldırgan, kimlik avı sitesini meşru sayfaya sıfırlar. Bu şekilde, kullanıcı ne olduğunu asla bilemez.

6. Başka bir notta, saldırgan, En İyi Sitelerde her zaman en az 1 veya 2 kimlik avı web sitesini tutabilir. Bu, saldırganın bir kullanıcının kalıcı denetimini sürdürmesine yardımcı olur’adlı kullanıcının oturumu açıldığında ve kullanıcı yeni bir siteyi her ziyaret ettiğinde, saldırgan tarafından algılanır ve En İyi Siteler'deki kimlik avı sitesi ile değiştirilir.

12__500x375_safaritopsitesspoof12__500x375_safaritopsitesspoof

DÜZELTME TANIMI

Bu sorun, otomatik web sitesi ziyaretlerinin En İyi Siteler listesini etkilemesini engelleyerek giderildi. Yalnızca URL adres çubuğuna manuel olarak girilen web sitelerinin En İyi Siteler görünümüne yerleştirildiği kabul edilir.

ÇÖZÜM

Safari 4.0.3 sürümüne yükseltme.

Apple güvenlik güncellemelerine Yazılım Güncelleme mekanizması üzerinden erişilebilir:
http://support.apple.com/kb/HT1338

Apple güvenlik güncellemeleri şu yollarla manuel olarak da indirilebilir:
http://www.apple.com/support/downloads/

REFERANSLAR

1. Apple Güvenlik Güncelleştirmeleri
http://support.apple.com/kb/HT1222

2. Jeremiah Grossman’s CSS Geçmiş Hack
http://jeremiahgrossman.blogspot.com/2006/08/i-know-where-youve-been.html

KREDİ

Bu güvenlik açığı,
Inferno (inferno {at} securethoughts {dot} com)

BİLGİLENDİRME ZAMAN ÇİZELGESİ

21 Mayıs 2009: Inferno tarafından keşfedilen güvenlik açığı.
21 Mayıs 2009: Apple ile iletişim kuruldu.
21 Mayıs 2009: Apple'dan otomatik yanıt.
26 Mayıs 2009: Apple Güvenlik Ekibinden ilk yanıt.
03 Haziran 2009: Apple tarafından sağlanan İlk Durum güncellemesi.
27 Haz 2009: Apple tarafından sağlanan İkinci Durum güncellemesi.
24 Tem 2009: Apple ile İstişare'nin kamuoyunun koordinasyonu.
11 Ağu 2009: Apple tarafından yayınlanan Yazılım Güncellemesi ve Kamu Danışmanlığı.

Apple Security Team'e zamanında yanıt verdikleri, bu sorunun yüksek şiddetini anladığı ve makul bir süre içinde bir yama yayınladığı için teşekkür etmek istiyorum..

Hem Chrome hem de Opera tarayıcıları benzer özellikler sunar, ancak bu güvenlik açığından etkilenmez. Chrome yalnızca adres çubuğuna manuel olarak girilen URL'lerin “En çok ziyaret edilen” Opera, kullanıcının favori web sayfasını hızlı arama girişi olarak açıkça eklemesini ister. IE bu özelliğe sahip değildir, bundan etkilenmez.

BlackHat ve Defcon'da bu yıl Apple, Microsoft, WhiteHat, SecTheory, McAfee, Paypal vb. Birçok ilginç insanla tanıştım. Tanıştığım insanlardan biri SecTheory'den Daniel Herrera idi. Bana yaptığı araştırmalardan bazılarını anlattı, bunlardan biri Top Sites'taki benzer bir anomali. Apple'ın bu sorunu çözdüğünü bilmek çok mutluydu. Yakın gelecekte, harika fikirlerini bizimle paylaşacak. Bu, Opera için üzerinde çalıştığı bazı güvenlik açıklarını içerir.

Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me