《電子技術(shù)應(yīng)用》
您所在的位置:首頁 > 通信與網(wǎng)絡(luò) > 業(yè)界動態(tài) > Edge瀏覽器bug可引發(fā)UXSS攻擊

Edge瀏覽器bug可引發(fā)UXSS攻擊

2021-06-30
來源:嘶吼專業(yè)版
關(guān)鍵詞: EDGE UXSS攻擊

Edge瀏覽器bug可引發(fā)UXSS攻擊,竊取網(wǎng)站私密信息。

微信圖片_20210630164211.jpg

  上周,,微軟發(fā)布了Edge瀏覽器的更新修復(fù)了2個安全漏洞,,其中有一個安全繞過漏洞,可以被利用來對任意網(wǎng)站進行注入和執(zhí)行任意代碼,。

  其中CVE-2021-34506漏洞CVSS評分5.4分,屬于UXSS安全問題,在通過Microsoft Translator使用瀏覽器的內(nèi)置功能翻譯web頁面時會自動觸發(fā)該漏洞,。

  CyberXplore研究人員分析稱,與常見的XSS漏洞不同,,UXSS是利用瀏覽器或瀏覽器擴展中的客戶端安全漏洞來生成XSS條件和執(zhí)行惡意代碼的一類攻擊,。

  下面是受漏洞影響的startPageTranslation函數(shù)代碼:

微信圖片_20210630164215.jpg

研究人員制作了一個PoC文件,代碼如下:

微信圖片_20210630164217.jpg

  漏洞復(fù)現(xiàn)步驟如下:

  1,、下載PoC文件(POC.html)或復(fù)制PoC文件中的內(nèi)容并本地保存,;file from

  2、在PoC文件所在的文件夾啟動Python服務(wù)器,,使用的命令如下:

  python3 -m http.server 80

  3,、打開Microsoft Edge瀏覽器(v 91.0.864.48版本),訪問http://localhost/POC.html

  4,、翻譯器將在顯示頁面是另外一種語言,,是否需要翻譯?點擊翻譯按鈕

  5、頁面彈出alert(1)

  遠(yuǎn)程漏洞利用需要滿足2個條件:

  1,、遠(yuǎn)程利用的攻擊者需要使用Edge瀏覽器,;

  2、Edge瀏覽器需要開啟自動翻譯功能,。

  PoC視頻參見:https://youtu.be/XfTN7fPtB1s

  研究人員利用該漏洞在谷歌,、Facebook、Youtube等網(wǎng)站上進行了測試:

  Facebook

  研究人員創(chuàng)建了一個含有外國語言名字和xss payload的介紹,,并發(fā)送給受害者一個好友請求(受害者需要使用有漏洞的Edge瀏覽器),,一旦受害者查看簡介,就會因為自動翻譯而出現(xiàn)XSS彈窗,。

  Facebook的PoC視頻參見:https://youtu.be/tTEethBKkRc

  Youtube

  研究人員創(chuàng)建了一個youotube視頻,,輸入含有xss payload的評論,任何不同語言的用戶查看該網(wǎng)頁被使用自動翻譯功能,,就會被攻擊,。Youtube的PoC視頻參見:https://youtu.be/2ogwUdszDsY

  Windows應(yīng)用商店

  研究人員發(fā)現(xiàn)Windows商店中基于web的應(yīng)用也會受到該漏洞的影響,因為Windows應(yīng)用商店中也有使用相同Microsoft Edge Translator的應(yīng)用,,會觸發(fā)UXSS攻擊,。




電子技術(shù)圖片.png

本站內(nèi)容除特別聲明的原創(chuàng)文章之外,轉(zhuǎn)載內(nèi)容只為傳遞更多信息,,并不代表本網(wǎng)站贊同其觀點,。轉(zhuǎn)載的所有的文章、圖片,、音/視頻文件等資料的版權(quán)歸版權(quán)所有權(quán)人所有,。本站采用的非本站原創(chuàng)文章及圖片等內(nèi)容無法一一聯(lián)系確認(rèn)版權(quán)者。如涉及作品內(nèi)容,、版權(quán)和其它問題,,請及時通過電子郵件或電話通知我們,以便迅速采取適當(dāng)措施,,避免給雙方造成不必要的經(jīng)濟損失,。聯(lián)系電話:010-82306118;郵箱:[email protected],。