Nearg1e

Chrome 扩展安全研究 - 一个UXSS的挖掘经历

2018-02-14T05:42:21.000Z

首发于: https://www.anquanke.com/post/id/98917

引言

有点想把标题换成来骗一波点击。但毕竟其实是扩展的问题，还是老实点写“扩展”吧。

这是我春节前挖到的一个漏洞，大概抓取了用户量top400的 Chrome 扩展，对比较在意的几个问题写了脚本删选了一部分出来，再逐个审计。本次讲的这个漏洞是想产出 UXSS 的时候挖的 UXSS 漏洞之一。我觉得比较典型，涉及到 content_scripts 和 background 脚本及其他 Chrome 扩展的特性，相对来说比较有趣，坑也稍微多一点。

由于不能公开插件详情，我把该插件和漏洞相关的源码抽出来，去掉一些带有公司名的关键字，放到 github 上:

https://github.com/neargle/hacking-extensions/tree/master/content_scripts_uxss

git clone 到本地，打开 chrome://extensions/，开启“开发者模式”, 点击 “加载已解压的扩展程序…” 按钮，选择 content_scripts_uxss 文件夹即可。

VER-OBSERVER 一个可以探测框架及依赖版本的命令行工具

2018-01-28T19:01:11.000Z

项目地址: https://github.com/neargle/ver-observer

用最著名的文学情感类博客测试一下, 看看效果。请大家测试的时候请参照这个视频，自己搭建 django 环境，不要浪费博主的流量，谢谢。

使用 golang 解析 Windows 日志的四种方法

2018-01-21T05:28:54.000Z

关于驭龙HIDS

驭龙HIDS (https://github.com/ysrc/yulong-hids) 是一款由 YSRC 开发的入侵检测系统，集异常检测、监控管理为一体，拥有异常行为发现、快速阻断、高级分析等功能，可从多个维度行为信息中发现入侵行为。当前，驭龙agent主要会收集系统信息，计划任务，存活端口，登录日志，进程信息，服务信息，启动项，用户列表，web路径等信息，其中Windows用户登录信息读取了Windows的EventLog，经历了几个版本，更换了好几个方法，最终成型。这篇文章就稍微说一下这几种方法的思路和实现。如果有更好的思路或实现，期待各位交流指教。

Windows事件查看器与日志ID

我们知道Windows会把系统登录日志记录在Windows安全日志里，我们可以在事件查看器里筛选查看这些系统日志。

那如果要看登录相关的系统日志呢？可以用事件ID进行筛选，其中登录失败的事件ID为 4625，而成功的登录ID为 4624。大部分的登录信息会包含在这两个事件ID里面。

Exploiting Python PIL Module Command Execution Vulnerability

2017-09-28T05:28:54.000Z

这是我用来支持先知和代码审计小密圈活动的文章，首发于: https://xianzhi.aliyun.com/forum/read/2163.html

PIL (Python Image Library) 应该是 Python 图片处理库中运用最广泛的，它拥有强大的功能和简洁的API。很多Python Web应用在需要实现处理图片的功能时，都会选择使用PIL。

PIL在对 eps 图片格式进行处理的时候，如果环境内装有 GhostScript，则会调用 GhostScript 在dSAFER模式下处理图片，即使是最新版本的PIL模块，也会受到 GhostButt CVE-2017-8291 dSAFER模式Bypass漏洞的影响，产生命令执行漏洞。

据说大牛们看源码和 dockerfile 就可以了：https://github.com/neargle/PIL-RCE-By-GhostButt

使用request merging bypass referer(jsonp) 检测

2017-08-31T19:01:11.000Z

更新两篇之前在其他地方发过的文章

1. 关于request merging和其会产生的问题

request merging : 浏览器会把多次相同的请求(并非所有请求)合并成一次，以加快资源加载速度。

e.g.

1
2
3

<script type="text/javascript" src="https://0.0.0.0:8888/jsonp/1"></script>
<script type="text/javascript" src="https://0.0.0.0:8888/jsonp/1"></script>
<script type="text/javascript" src="https://0.0.0.0:8888/jsonp/1"></script>

只会请求并加载一次”https://0.0.0.0:8888/jsonp/1"资源。

曾经有研究指出，这种请求合并想象在iframe里也存在，那么浏览器的这种特性就可以用来bypass部分程序的referer的判断，如jsonp的防御机制。

2. 环境和POC

绕过referer检测，攻击者能否拿到进行referer保护的用户信息？

攻击者服务器： https://example.com:8081
目标服务器： https://example.com:8082
referer检测： referer是否以“https://example.com:8082”开头
目标：攻击者拿到属于用户的 “security content”

环境：

/jsonp.php

<?php

function startsWith($url, $domain) {
     $length = strlen($domain);
     return (substr($url, 0, $length) === $domain);
}

$referrer = @$_SERVER['HTTP_REFERER'];

if (startsWith($referrer, "https://example.com:8082")) {
    $js_code = 'function jquery() { return "security content";}';
    echo $js_code;
} else {
    $js_code = 'function jquery() { return "nothing";}';
    echo $js_code;
}

ddctf 两道web题的Writeup (sqli & xss)

2017-08-31T19:01:10.000Z

更新两篇之前在其他地方发过的文章

sqli

地址: https://118.190.134.8/t1/news.php?id=1

尝试sql注入，会发现过滤了’和空格等。使用
https://118.190.134.8/t1/news.php?id=1%0aand%0a1=1 和 https://118.190.134.8/t1/news.php?id=1%0aand%0a1=2 判断注入存在，开始思考出数据的方法

https://118.190.134.8/t1/news.php?id=1%0aorder%0aby%0a5
判断字段数为4

https://118.190.134.8/t1/news.php?id=1union%0aselect%0a1,2,3,4
发现过滤了逗号

那就不好用union出数据了，可选择使用盲注出数据比如(select%a0ascii(substr((select%a0TABLE_NAME%a0from%a0information_schema.tables%a0where%a0TABLE_TYPE%a0=%a0"BASE%a0TABLE"%a0limit%a01%a0OFFSET%a02)%a0from%a01%a0for%a01))=1)%23。但是这里其实有一个union出数据的tip可以使用:

mysql $> select 1,2,3,4 Union select * from (select 1)a join (select 2)b join (select 3)c join (select 4)d
+-----+-----+-----+-----+
|   1 |   2 |   3 |   4 |
|-----+-----+-----+-----|
|   1 |   2 |   3 |   4 |
+-----+-----+-----+-----+

Django的两则url跳转漏洞:CVE-2017-7233和CVE-2017-7234分析

2017-04-12T15:55:00.000Z

Django官方News&Event在4月4日发布了一个安全更新，修复了两个URL跳转的漏洞，一个是urlparse的锅，另一个来自国内的安全研究员 phithon@长亭,都非常漂亮。因为有复现Django漏洞的习惯，晚上抽了点时间复现了一下。有趣的点还挺多。把两个漏洞的分析整合在一起，凑了篇文章。（还是研究漏洞有趣啊，泪流满面QAQ）

CVE-2017-7233分析

国外安全研究员roks0n提供给Django官方的一个漏洞。

Chrome Extensions Spider & Downloader

2017-01-09T05:42:21.000Z

可以先看一下n0r00t的文章的这一篇:https://www.n0tr00t.com/2017/01/09/Chrome-Extensions-Probe.html。
以及用chrome试用一下最后的成果POC:https://server.n0tr00t.com/chrome/ext_probe.html，可以探测Chrome中已安装的扩展，配合Chrome扩展的一些漏洞，说不定能达到定点攻击的效果。

n0js case1 writeup

2016-12-15T07:46:50.000Z

跟着蘑菇老师学前端安全第一弹[二哈]

地址：

https://server.n0tr00t.com/n0js/case1.html

主要代码：

function test(a1, a2, a3) {
    console.log(`${a1}`);
    eval(`${a2}`);
    console.warn(`${a3}`)
};
var x = location.hash;
l1 = escape(x.split('#')[1]);
l2 = x.split('#')[2];
l3 = x.split('#')[3];
if (l1 === 'undefined' || l1.length >= 30) {
    a1
};
if (l2 === 'undefined' || l2.length >= 35) {
    a2
};
var v = ['1', l2, '3'];
if (l1.indexOf(';') >= 0 || l2.indexOf('(') >= 0) {
    a3
};
if (l2.indexOf('/') >= 0) {
    b1
};
if (l3.indexOf(']') >= 0 || l3.length >= 2) {
    c3
}; {
    d = l1 + 'v' + l3.trim();
    eval('test(' + d + ')')
};

Flask Debugger页面上的通用XSS漏洞分析和挖掘过程记录

2016-09-21T01:48:42.000Z

前言

前段时间发现较为鸡肋的洞和当时写的文章。

一个存在于Flask框架Debugger页面上的通用XSS，Werkzeug0.11.10之前版本受影响，已经报告给Flask官方并提交修复代码。官方在确认之后，及时发布了0.11.11。

记下了发现的过程。

记一下PythonWeb代码审计应该注意的地方

2016-07-25T10:39:07.000Z

读《Code Review For Python-Based Web Apps》（《PythonWebApp代码审计》）做的笔记,正好自己也在写相关的文章：讨论PythonWeb开发中可能会遇到的安全问题,所以就翻译了一下作者原文，省去一些不必要的口水，并添加了一些自己的想法。

SQL注入

安全的做法：

1 2	stmt = "SELECT * FROM table WHERE id=?" connection.execute(stmt, (value,))

不安全的做法：

1
2
3

"SELECT * FROM table WHERE id=" + value
"SELECT * FROM table WHERE id=%s" % value
"SELECT * FROM table WHERE id={0}".format(value)

大部分Python操作数据库的第三方模块，如pymysql、sqlite3等，执行sql语句的函数，都支持参数化查询，如上安全的做法所示，可以给sql语句传递参数，这个参数经过过滤。而下面的字符串拼接是不经过过滤。所以会出现sql注入。

使用PyQt4.QtWebKit降低自动化XSS检测的误报

2016-07-23T08:35:00.000Z

一直以来的一个想法，现在有新的思路的就写出来看看。

自动化Web漏洞扫描器是渗透测试亘古不变的话题。把当前一直重复的手工劳动和新的思路转化为自动化工具，利用技术和程序实现为自己节省时间是一件非常有趣的事情。然而，自动化的路坑却不少。其中误报就是一件比较蛋疼的事情，XSS的误报尤其蛋疼。当前众多扫描器的XSS插件都存在误报的情况，我们来看一下大部分扫描器的XSS检测思路，我写了一个简单的Python函数来描述它，当然实际的通用XSS检测插件肯定会比这个要复杂的多,我只截取了一部分来说明思路：

import requests
headers={}

def xss_detect(method='GET', querylist=[], url=''):
    params = {}
    resp = None
    # 这里有更多的payload,如onfocus=alert(2333)
    payload = '-->\'"><script>alert(1);</script>' 
    if method == 'GET':
        for query in querylist:
            # url = '{url}?{query}={payload}'.format(url=url,query=query,payload=payload)
            params[query] = payload
        resp = requests.get(url, params=params, headers=headers)
    # 此处省略POST
    if resp:
        # 这里有更多的正则匹配规则
        if '<script>alert(1);</script>' in resp.content:
            return True
        else:
            return False

讨论PythonWeb开发中可能会遇到的安全问题之SQL注入

2016-07-22T13:39:07.000Z

前言

好久没写文章了，最近一直都是在看文章。
近期写了好几个PythonWeb项目，在实现需求的过程中，一直在思考PythonWeb开发过程中会遇到哪些常见的Web安全问题呢？这些问题又在什么情况下会被利用者GetShell呢？下面就分类来讨论这些问题：(这也是重新启用博客的第一篇文章，顺便投给90Sec也不知道能不能过QAQ。)

常见漏洞分析

SQLI

SQL注入所产生的条件是用户输入可构造sql语句并带入数据库执行。在Web应用中，容易产生SQL注入的输入一般是GET或POST请求参数。在PythonWeb开发中，以Flask框架为例，Flask里获取GET或POST请求数据的方式分别是request.args.get('id', 0, type=int)和request.form.get('id', 0, type=int)两种方式，另外Flask还支持在URL路由里带入变量：@app.route('/news/<int:id>')，当程序员定义了这样的URL，则id这个变量在该视图里就是可以调用的。两种方法获取都是可以限定参数的类型，前者如果程序指定type为int，当用户传入无法转换成整形的字符串时，就返回None（若指定了默认值则为默认值，例子的默认值为0），后者出现这种情况则直接返回404.

PythonWeb开发中，在处理数据库的过程中经常使用orm库进行数据库处理，orm库是防SQL注入的好手。Flask和Tornado经常使用Sqlalchemy，而Django有自己自带的orm引擎。举一个用Sqlalchemy建模型类，并使用模型类查询用户数据的例子：

from sqlalchemy import create_engine
from sqlalchemy.orm import sessionmaker
from datetime import datetime
from sqlalchemy.ext.declarative import declarative_base
from sqlalchemy import Column, Integer, String, DateTime

engine = create_engine('mysql+pymysql://user:password@192.168.1.101/test')
DBSession = sessionmaker(bind=engine)
session = DBSession()
Base = declarative_base()

class user_t(Base):
    __tablename__ = 'user_t'
    user_id = Column(Integer, primary_key=True)
    username = Column(String)
    userpassword = Column(String)
    createtime = Column(DateTime, default=datetime.utcnow)

Html5文件夹上传欺骗之Python实现版-w-

2015-12-01T06:14:44.000Z

起因

以前曾经在微博上看到过Html5的新特性可以用于新的Web攻击，其中提到文件夹上传可以用于欺骗。觉得有点意思，后来又看到蘑菇在创宇的官博上面写了一篇博客：

https://blog.knownsec.com/2015/11/html5-upload-folder-with-webkitdirectory-phishing/

感觉的该说的都被他说了，嘛，不过这个东西，可以拿出来逗大家玩玩消遣一下时间0w0，但是这个是PHP的，而且明显任意上传可以直接GetShell，不想在服务器上装PHP。于是想着用Python实现一番。

Python实现文件夹上传

主要问题在于先用的Python Web框架支不支持文件上传呢？写小玩意儿的时候我喜欢用flask，简单可定制强。于是调查了一番Flask对文件夹上传的支持，发现：其实对于后端来说，Html5的文件夹上传和以前的多文件上传并没有什么不一样，那就简单了-w-

Wordpress插件：WP Mobile Edition Plugin 任意文件下载漏洞分析

2015-10-10T05:28:54.000Z

影响：

WP Mobile Edition版本低于2.2.7有该漏洞。
首次启用WP Mobile Edition 插件之后，即使停用或删除该插件，漏洞也会一直存在。
即使升级插件，若已经启用过漏洞存在的版本，漏洞也同样存在。
css.php用于压缩css文件，并不只存在于该插件之中，而是 https://github.com/mrclay/ 的开源代码，使用该文件的网站也存在该漏洞。

WooMirror:一个公开漏洞备份及搜索的Wooyun镜像站

2015-09-14T05:28:54.000Z

闲聊

前一段时间，导师说希望我写一个备份Wooyun公开漏洞信息的爬虫程序，为了避免某些突发情况；写完之后还没爬下来我们去比ISCC，河南的ISCC上网特别麻烦，所以队友君就说“要是有一个离线的漏洞库而且能检索就好了”，于是这事就又到了我头上。考虑到以下三点：

使用Metasploit获取Android设备权限

2015-06-28T06:14:44.000Z

实验环境:

KALI (IN VMWARE)
Metasploit (IN KALI)
Android 4.1.2
Apache2 (IN KALI)