谷歌浏览器漏洞导致私人Facebook信息泄露

谷歌浏览器漏洞导致私人Facebook信息泄露

该方法可用来推断用户的年龄、性别、喜好或历史位置。实际上,黑客可以找到与受害者相关的20多条信息。

谷歌中发现了一个浏览器错误,通过使用视频和音频HTML标签以及网站中的过滤功能,黑客可以发现存储在Facebook,Google网站和其他平台上的私人数据。

该漏洞存在于Blink引擎中,该引擎用于驱动Chrome。该漏洞允许攻击者用专门的隐藏视频或音频标签将不知情访问者的浏览器引入恶意网站。

根据发现并报告该漏洞的Imperva,这些A / V HTML标签可以用作脚本的一部分,该脚本生成对Web应用程序内的目标资源的请求,该Web应用程序也在受害者的桌面上打开,例如Facebook。反过来,对这些请求的响应可用于推断受害者的信息。

“从本质上讲,这个漏洞允许攻击者使用视频或音频标签来估计跨域页面的大小,”Imperva的安全研究员Ron Masas在接受采访时解释道。

打破攻击流程,犯罪分子可以让脚本向Facebook页面发送请求,该页面上有许多受众限制 – 比如,只有来自德克萨斯州的人才能查看它。攻击者可以根据用户是否可以访问该页面来评估受害者是否来自德克萨斯州。可以用同样的方法推断用户的年龄,性别,喜好或历史位置。

“攻击者可以通过向特定Facebook帖子发送请求并估计其大小(小响应=假,大响应=真)来询问Facebook是否问题,”Masas解释道。“我设法找到让Facebook使用帖子的受众限制和Facebook图片搜索端点来反映各种信息。”

他补充说:“只要在Facebook上面有,攻击者就可以推测用户的具体年龄和性别,不管他们的隐私设置如何。”

Masas表示他正在通过检查不同HTML标签的跨域通信来研究跨源资源共享机制。对于视频和音频标签,“似乎将‘预载’属性设置为‘元数据’改变了‘onprogress’事件被调用的次数,其方式似乎与请求的资源大小相关,”他在周三公布的一篇关于缺陷的帖子中表示。“为了检验我的假设,我创建了一个简单的NodeJS HTTP服务器,它以给定参数的大小生成响应。然后我使用这个服务器端点作为JavaScript的资源。”

该脚本创建一个隐藏的音频元素跟踪触发‘onprogress’事件的次数,并在音频解析失败后返回计数器的值。

因此,数据是基于旁道信息提取的,Masas接受Threatpost采访时说。

“最后证明从视频/音频标签发出的‘onprogress’事件与所请求的资源大小相关—-页面大小也可以被视为旁道信息” 他解释说。

这种攻击看似是劳动密集型的,但是有只要几个脚本同时运行 – 每个都进行一个不同的受众限制 – 攻击者可以“相对快速地挖掘大量关于用户的私人数据”,Masas说。并且由于攻击是在受害者的浏览器上执行的,因此扩展它只需让更多人访问运行注入脚本的恶意网站。

除了社交媒体上的隐私之外,还有更严重的问题。如果攻击脚本在运行时,受害者打开需要邮箱注册的网站 – 例如电子商务或云应用程序网站 – 攻击者就可以将从社交媒体上提取的私人数据与电子邮件地址相关联,从而进行更深入的分析。

“我认为这种攻击的最大危险是数据的丰富(将年龄,性别,Facebook喜欢等信息与现有用户联系起来),”Masas说。

为了使漏洞发挥作用,目标用户需要安装攻击者的恶意网站,并在浏览器中打开脚本; 并且,用户还需要同时打开脚本可以查询的Facebook或其他Web应用程序。

该漏洞会影响Chrome 67和旧版本的浏览器。谷歌在7月发布的Chrome 68中修补了这个漏洞,因此如果还没更新,现在赶紧更新。

原创文章,作者:M0tto1n,如若转载,请注明出处:http://www.mottoin.com/news/112560.html

发表评论

登录后才能评论

联系我们

021-62666911

在线咨询:点击这里给我发消息

邮件:root@mottoin.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code