Google | Yahoo! | MSN | HiNet | Yam | FaceBook |
  • 首頁 > 知識庫 > JavaScript開啟瀏覽器攻擊之門
  • JavaScript開啟瀏覽器攻擊之門

    資安研究員發現一種方法,可用利JavaScript取得家庭網路或企業網路的映像(map),進而對所有連線的伺服器或印表機、路由器等裝置發動攻擊。

    資安研究員指出,這種惡意的JavaScript可嵌入網頁,在使用者以普通瀏覽器讀取網頁時毫無預警地執行,連防火牆等安全防護措施也拿它沒輒,因為此惡意程式是透過瀏覽器執行。

    網路安全專業公司SPI Dynamics的首席工程師Billy Hoffman說:「我們已發現一種掃瞄網路的手法,可把測得的網路連線裝置統統加以指紋特徵辨識(fingerprint),再對這些裝置發出攻擊或指令。這種手法可掃瞄有防火牆保護的網路,例如企業內部的網路。」

    這類攻擊如果得逞,影響甚大。Hoffman舉例說,惡意程式可能掃瞄整個家庭網路,偵測路由器的機型,然後傳指令給路由器,以啟動無線連網並且把加密功能全部關閉。也可取得企業網路的映像,然後對伺服器發動攻擊,讓攻擊顯得像是內部員工所為似的。

    網路應用資安公司WhiteHat Security的技術長Jeremiah Grossman說:「你的瀏覽器可能被用來入侵內部網路。」他說,SPI Dynamics和WhiteHat Security大約在同一時間發現這種JavaScript式的網路掃瞄程式,兩家公司打算本周在啦斯維加斯舉行的Black Hat安全會議中討論此事。

    JavaScript、AJAX與WWW

    JavaScript已問世十年左右。這種script程式語言用於網站,近年來隨著AJAX程式技巧的風行,使用率日益普及。AJAX的全名是「非同步JavaScript與XML」(Asynchronous JavaScript and XML),可提升網站的互動性,但AJAX也有安全上的陷阱。

    惡意JavaScript恐怕存在已久,只是資安研究員不大重視,淨是集中注意力抓網頁瀏覽器的安全漏洞。

    Nmap網路掃瞄工具發明人Fyodor Vaskovich說:「以前,探究這種side-channel型攻擊的動機不強。但SPI Dynamics弱點的一大優勢是很難修補,否則可能破壞許多網路應用程式。所以,此弱點可能久久未能根除。」

    他說,以前也有人試著用JavaScript編寫網路掃瞄程式,但功能都不像SPI Dynamics的範本這麼先進。SPI Dynamics找出高明的攻擊手法,且有紮實的示範支持,是一大功勞。他們藉檢查預設映像路徑與名稱辨識伺服器的方法,實在很高桿。」

    執行時,JavaScript會先判斷PC在內部網路的位址,然後用標準的JavaScript物件和指令,開始掃瞄與網路伺服器連線的區域網路。這些網頁伺服器可能是用來伺服網頁的電腦,但也可能包含路由器、印表機IP電話等連網裝置,或是具有網路介面的應用程式。

    主機發出的ping

    SPI Dynamics paper解釋,JavaScript掃瞄器先用JavaScript「映像」(image)物件傳出偵測(ping)訊息,以判斷某個網際網路協定(IP)位址是否有相對應的電腦。接下來,再檢查儲存在標準路徑的檔案、回傳的資料流量以及錯誤訊息,據以判斷哪些伺服器正在執行。

    惡意的JavaScript可能是寄身在駭客的網站,但若是利用一種稱為「網站交叉scripting」的常見安全漏洞,也可能透過受信賴的網站發動攻擊。知名的大型網路公司如Google、微軟和eBay等,都尚未修補這些安全漏洞。上周,AOL的網景網站(Netscape.com)就修補這類安全漏洞,以免對手Digg.com的粉絲在網景網站植入JavaScript程式。


    Grossman預定在BlackHat會議上示範一次攻擊。他說:「我們會示範如何取得內部的IP位址,如何掃瞄內部網路,如何作指紋辨識,和如何進入DSL路由器。用瀏覽器攻擊內部網路(intranet),可讓我們完全控制瀏覽器。」

    就防護措施而言,PC使用者可說是束手無策。專家說,現在大致上只能靠網站開發者想辦法,以維護使用者和伺服器的安全。有些PC安全軟體能偵測惡意的JavaScript,但通常只是攻擊發生後才偵測得到,因為這些軟體依賴攻擊簽名檔(威脅留下的「指紋」)來攔阻攻擊。

    Grossman說:「我們建議的保護措施,都是針對伺服器方面而言。」他說,網站管理者應該先修補網站交叉scripting的安全漏洞,並確使用者上傳的JavaScript。他說:「使用者可謂完全受制於他們到訪的網站。使用者可關閉JavaScript,但這不是解決辦法,因為太多網站靠它來運作。」

    此外,若是懷疑某個網站怪怪的,不妨換個網頁瀏覽,或關閉瀏覽器,這樣也可能有助於攔阻惡意的JavaScript。

    目前為止,這類攻擊還不普遍。Grossman說:「JavaScript惡意程式仍是尖端技術,就像早期的電子郵件病毒一樣,能拿它來搞什麼鬼,現在還不得而知。我認為,以後會有更多的攻擊事件浮上檯面。」(
IP:3.235.66.217