黑白网：窃取用户数据并执行流氓代码(图)

黑白网络（）成立于2014年。多年来，它以的眼光和优质的服务，为安全技术爱好者提供了中国最全面的网络安全技术学习资料，普及了中国网络安全知识，并促进正确性。黑客怪胎文化在各个方面都提高了家庭安全技术的水平。

Google的Chrome浏览器中存在一个安全漏洞。攻击者可以利用此漏洞绕过网络的内容安全策略（CSP），从而窃取用户数据并执行恶意代码。

Google的Chrome浏览器中存在一个安全漏洞。攻击者可以利用此漏洞绕过网络的内容安全策略（CSP），从而窃取用户数据并执行恶意代码。

PerimeterX网络安全研究人员GalWeizman表示，该漏洞编号为CVE-2020-6519，并且存在于Windows，Mac和Android上的Chrome，Opera和Edge浏览器中，最多可能影响十亿用户。其中，Chrome的版本73（2019年3月）到版本83将受到影响，版本84已于7月发布，并且此漏洞已修复。 Chrome浏览器拥有超过20亿用户，并占浏览器市场的65％以上。

CSP是旨在防止某些攻击（例如跨站点脚本（XSS）和数据注入攻击）的Web标准。 CSP允许Web管理员指定浏览器认为是可执行脚本的有效来源的域。然后，与CSP兼容的浏览器将只执行从这些域接收的源文件中加载的脚本。

在这方面，魏茨曼在报告中指出：“ CSP是网站所有者用来实施数据安全策略以防止恶意影子代码在其网站上执行的主要方法。因此，当绕过浏览器执行时，个人用户数据将受到威胁。”

当前，大多数网络都使用CSP策略，例如Internet巨头，例如ESPN，Facebook，Gmail，Instagram，TikTok，WhatsApp，Wells Fargo和Zoom。当然，GitHub，Google Play商店，LinkedIn，PayPal，Twitter，Yahoo和Yandex不会受到此漏洞的影响。

Chrome的CSP强制执行机制中存在漏洞并不能直接表明该网站已受到攻击，因为攻击者还需要从该网站中查找恶意脚本。网站信任的安全机制存在漏洞。该安全机制本可以对第三方脚本执行更严格的策略，但是由于漏洞会使网站认为它们是安全的并允许它们通过。

攻击者使用此漏洞来获取Web服务器权限（通过破坏密码或其他方式）并修改JavaScript利用代码。向JavaScipt添加frame-src或child-src指令，使攻击者可以使用此方法绕过CSP策略执行并绕过网站安全规则。

经过验证，该漏洞的威胁等级为中等（6. 5分），但是，由于该漏洞涉及CSP策略执行，因此具有广泛的影响。网站开发人员允许第三方脚本修改付款页面。例如，他们知道CSP将限制敏感信息，因此，通过破坏或绕过CSP，他们可以窃取敏感的用户信息，例如付款密码。这无疑给网站用户的信息安全带来极大的风险。

该漏洞已在Chrome浏览器中存在超过一年，并且现已修复。但是，此漏洞的后续影响尚不清楚。一旦被利用，用户数据便被盗用并以非法方式使用，后果将不堪设想。

在报告中，您还可以看到安全研究人员测试浏览器或网站是否容易受到此漏洞影响的过程。创建一个简单的脚本。通过devtools控制台执行脚本时，可以测试所有这些网站。该脚本将立即通知当前浏览器/网站是否由于CSP / OldChrome配置错误而受到CVE-2020-6519的攻击。尝试从正常加载外部js脚本并加载漏洞利用程序。测试后的三个结果如下：

浏览器和网站容易受到攻击

浏览器容易受到攻击，但网站并不容易受到攻击

浏览器不容易受到攻击

因此，用户可以从以下几个方面采取安全措施：

1.确保正确定义了CSP策略。考虑添加其他安全层，例如现时或哈希，这将需要在某些服务器端实现

2.仅CSP对于大多数网站来说是不够的，因此请考虑增加另一层安全性。考虑基于JavaScript的影子代码检测和监视以实时缓解网页代码注入

3.确保Chrome浏览器版本为84或更高版本。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shumachanpin/article-361719-1.html