Safari 4 -sivuston kaappaus Phish-pommeilla

No, tämä on mielenkiintoinen aihe, jonka löysin arvioidessani Safari 4 Beta (v528.16). Tämä ei ole tavallinen XSS- tai CSRF-virhe, joka vaatii sivuston haavoittuvuuden, mutta jatkuva selaimen takaovi, joka vaikuttaa kaikkiin Safari 4 -käyttäjiin, jotka käyttävät versioita 4.0.2 tai uudempaa. Olin melko hämmästynyt joistakin uusimmista ominaisuuksista, joita Applen uusin versio tarjoaa’selaimessa, etenkin hypedissä Suosituimmat sivustot ja Cover Flow. Päätin hakkeroida tämän hienon ominaisuuden. Tässä on mitä löysin.


SECURETHOUGHTS.COM-NEUVONTA
- CVE-ID: CVE-2009-2196
- Julkaisupäivä: 11. elokuuta 2009
- Löytäjä: Inferno

haavoittuva

Safari 4 kaikki versiot < 4.0.3
Vaikuttavat alustat - Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.7, Mac OS X Server v10.5.7, Windows XP ja Vista

TAUSTA

Safari on Apple Inc: n kehittämä selain. Se on oletusselain Mac OS X 10.3: n tai uudemmassa versiossa. Microsoft Windows -käyttöjärjestelmän Safari julkaistiin ensimmäisen kerran 11. kesäkuuta 2007 ja tukee tällä hetkellä sekä Windows XP: tä että Windows Vistaa. Selaimen nykyinen vakaa julkaisu on 4.0.3 Mac OS X: lle ja Windowsille. (Lähde - Wikipedia).

Safari 4 esitteli Suosituimmat sivustot -ominaisuuden tarjotaksesi käyttäjän yhdellä silmäyksellä’suosikki verkkosivustot. Se on Safari 4: n hyped-ominaisuus, ja käyttäjät käyttävät sitä laajalti nopeasti siirtyäkseen usein käytettyihin sivustoihinsa, joihin voivat kuulua pankit, sähköpostitilit, ostospaikat jne..

KUVAUS

Haitallisella verkkosivustolla on mahdollista sijoittaa mielivaltaisia ​​sivustoja Suosituimmat sivustot -näkymään automatisoitujen toimien avulla. Hyökkäystekniikassa käytetään javascript-ikkunoita, joissa pienessä ikkunassa käytetään toistuvasti selaamaan erilaisia ​​sivustoja, jotka hyökkääjä haluaa lisätä Suosituimmat sivustot -luetteloosi. Tämä ikkuna on täysin piilotettu window.blur-toiminnolla ja käyttäjä voitti’t tiedä, että tapahtuu taustalla. Huomaa, että tämä hyökkäys ei ole mahdollista käyttämällä näkymättömiä iframe-kehyksiä, koska Safari ei käytä iframe-URL-osoitteita päättääksesi Top Sites -sisällön sisällöstä.

Kun hyökkäys on suoritettu loppuun, pieni ikkuna sulkeutuu ja seuraavan kerran kun käytät Safari Top Sites -sivustoa, hyökkääjä saa sen’määritellyt sivustot korvaavat nykyiset lailliset sivustosi. Hyökkääjä voi tämän päätöksen tekemiseksi, millä sivustoilla korvata, hyökkääjä voi ensin käyttää Jeremiah Grossmanin löytämää CSS History Hackia [2] ja asettaa sen jälkeen vääriä sivustoja kyseiseen käyttäjään nähden.’vieraillut verkkosivustot. Siksi tämä voisi helposti helpottaa vakavaa tietojenkalasteluhyökkäystä. Safari pahentaa tilannetta’riittämätön suoja URL-hämärtämishyökkäyksiä vastaan, kuten korostettiin kohdassa [3], mikä tekee tavallisen käyttäjän melkein mahdottomaksi havaita väärennetty sivusto ja erottaa se laillisesta sivustosta.

KÄSITTEEN TODISTUS

https://securethoughts.com/b/q.htm
PoC toimii tällä hetkellä alle minuutissa, joka perustuu konservatiivisimpiin tuloparametriarvoihin.

Tämän hyökkäyksen kaksi syöttöparametria ovat väärennettyjen verkkosivustojen vierailukertojen lukumäärä (n) (oletus = 28) ja aikakatkaisu (t) (oletus = 2 sekuntia), joka laukaisee vaihdon kahden väärennetyn verkkosivuston välillä. Se on hyvin yksinkertainen ja lisää kaksi vääriä verkkosivustoja bankofamerica.com ja gmail.com suosituimpiin sivustoihisi. (se ei tarkista selaimesi historiaa, mutta se on jätetty lukijalle tehtäväksi) :):) ). Saatat joutua nostamaan parametrin arvoa ‘n’ jos vierailet suosikkisivustoissasi hyvin usein.

Todellisen maailman hakkerointi näyttää seuraavalta:

1. Hyökkääjä ruiskuttaa haitallista javascriptiä päälle
(a) hänen pahan sivustonsa TAI
(b) laillisella sivustolla, joka sallii javascriptin (esim. ilmoitustaulut, kojetaulut jne.).

2. Uhri käy yllä olevalla sivustolla.

3. Haitallinen javascript suorittaa ja tarkistaa ensin selaimen historian (käyttämällä CSS-historiatietoa [2]) Alexa Top 500 -luettelosta.

4. Hyökkääjä korvaa käyttäjän’vieraillut sivustot, joissa on väärennettyjen tietojen kalastelusivustoja (tekee oikeutetut kuulostavat nimet URL-osoitteen hämärtämisen yhteydessä).

5. Joka kerta kun käyttäjä avaa tietojenkalastelusivuston ja saa sisäänkirjautumissivun, käyttäjä’Valtakirjat varastetaan. Hyökkääjä näyttää sisäänkirjautumisvirhesanoman, jossa pyydetään käyttäjää yrittämään myöhemmin uudelleen. Samalla hyökkääjä nollaa kyseisen tietojenkalastelusivuston takaisin lailliselle sivulle. Tällä tavalla käyttäjä ei koskaan tiedä mitä tapahtui.

6. Toisena huomautuksena, hyökkääjä voi pitää aina vähintään yhden tai 2 phishing-verkkosivustoa suosituimmissa sivustoissa. Tämä auttaa hyökkääjää ylläpitämään jatkuvaa käyttäjän hallintaa’istunnossa ja joka kerta kun käyttäjä vierailee uudessa sivustossa, hyökkääjä havaitsee sen ja se korvataan kalastelusivustolla Suosituimmissa sivustoissa.

12__500x375_safaritopsitesspoof12__500x375_safaritopsitesspoof

KIINTEEN KUVAUS

Tämä ongelma ratkaistaan ​​estämällä automatisoituja verkkosivustovierailuja vaikuttamasta Suosituimmat sivustot -luetteloon. Vain verkkosivut, jotka on syötetty manuaalisesti URL-osoitepalkkiin, katsotaan sijoitettaviksi Suosituimmat sivustot -näkymään.

RATKAISU

Päivitä versioon Safari 4.0.3.

Applen tietoturvapäivitykset ovat saatavana ohjelmistopäivitysmekanismin kautta:
http://support.apple.com/kb/HT1338

Applen tietoturvapäivitykset ovat saatavana myös manuaaliseen lataamiseen:
http://www.apple.com/support/downloads/

Suositukset

1. Applen tietoturvapäivitykset
http://support.apple.com/kb/HT1222

2. Jeremiah Grossman’s CSS-historian hakkerointi
http://jeremiahgrossman.blogspot.com/2006/08/i-know-where-youve-been.html

OV

Tämä haavoittuvuus on löydetty
Inferno (inferno {at} turvalliset ajatukset {dot} com)

ILMOITTAMISaikataulu

21. toukokuuta 2009: Inferno havaitsi haavoittuvuuden.
21. toukokuuta 2009: Apple otti yhteyttä.
21. toukokuuta 2009: Applen automaattinen vastaus.
26. toukokuuta 2009: Ensimmäinen vastaus Apple Security Teamiltä.
03 kesäkuu 2009: Apple toimitti ensimmäisen tilan päivityksen.
27. kesäkuuta 2009: Apple toimitti toisen tilan päivityksen.
24. heinäkuuta 2009: Advisoryn koordinoitu julkinen julkaisu Applen kanssa.
11. elokuuta 2009: Applen myöntämä ohjelmistopäivitys ja julkinen neuvonta.

Haluan kiittää Apple Security Teamia heidän oikea-aikaisista vastauksistaan, heidän ymmärrystään tämän ongelman vakavuudesta ja korjaustiedoston julkaisemisesta kohtuullisessa ajassa.

Sekä Chrome- että Opera-selaimet tarjoavat samanlaisia ​​ominaisuuksia, mutta tämä haavoittuvuus ei vaikuta niihin. Chrome sallii vain osoiteriville manuaalisesti kirjoitettujen URL-osoitteiden menemisen “Eniten vierailtu” aloitussivu, kun taas Opera vaatii käyttäjän lisäämään suosikkiverkkosivunsa nimenomaisesti pikavalintanumeroksi. IE: llä ei ole tätä ominaisuutta, joten tämä ei vaikuta siihen.

Tapasin useita mielenkiintoisia ihmisiä BlackHatissa ja Defconissa tänä vuonna Applen, Microsoftin, WhiteHatin, SecTheoryn, McAfeen, Paypalin yms. Yksi tapaamisistani oli Daniel Herrera SecTheorystä. Hän kertoi minulle joitain tekemistään tutkimuksista, joista yksi oli samanlainen poikkeavuus suosituimmissa sivustoissa. Hän oli iloinen tietäessään, että Apple korjaa tätä asiaa. Lähitulevaisuudessa hän jakaa kanssamme hienoja ideoitaan. Tämä sisältää joitain haavoittuvuuksia, joita hän työskentelee Operalle.

Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me