歡迎來到 黑吧安全網 聚焦網絡安全前沿資訊,精華內容,交流技術心得!

從Avast殺毒軟件發現價值5000美金的反射型XSS

來源:本站整理 作者:佚名 時間:2019-12-08 TAG: 我要投稿


本文講述作者從Avast桌面版殺毒軟件中發現的反射型XSS漏洞(CVE-2019–18653 & CVE-2019–18654),漏洞原因在于Avast在新加入某個無線網絡時,通過對無線網絡名稱(SSID)的讀取,Avast的網絡接入提示(Avast Network Notification )會反彈形成XSS漏洞,攻擊者可以在用戶接入的無線網絡名稱(SSID)中構造惡意XSS Payload形成假冒網頁進而竊取用戶密碼憑據信息。漏洞最終被Avast官方分類為高危,并給予了$5000美金獎勵。同樣的漏洞也存在于與Avast同系列產品的**G殺毒軟件中。
漏洞復現
1、在Windows系統中安裝有Avast桌面版殺毒軟件;
2、構造一個無線網絡,其SSID名稱為不超過32個字符的XSS Payload,可參考BruteLogic 和 s0md3v 給出的短XSS Payload構造法;

3、打開Avast殺毒軟件,連入用XSS Payload新構造的無線網絡,等待Avast的網絡接入提示(Avast Network Notification ),它會觸發無線網絡SSID中的XSS Payload。
發現過程
幾年前我看過安全研究員Deral Heiland在測試一些大公司產品時,通過構造SSID包含XSS Payload的無線網絡,以此方式來測試這些軟件在連接這種惡意無線網絡時,是否會觸發XSS執行,最終他發現有很多軟件都存在此種漏洞,他曾在2013年的BLACK HAT上有過技術分享《Practical Exploitation Using A Malicious Service Set Identifier (SSID)》;谒陌l現,我也在我的OS X系統中構造了一個SSID包含XSS Payload的無線網絡來進行一些測試使用。
幾個月之后,我另外買了一臺筆記本電腦(內置Windows),于是,出于方便,我就把這臺新買筆記本連入了我OS X系統中SSID包含XSS Payload的無線網絡,用它下載安裝了一些必要的應用軟件,最后還安裝了Avast殺毒軟件。后來有一天,我用這臺新買筆記本電腦做在線培訓時,網絡連接突然出現了問題,電腦自動連接到了之前我安裝軟件的無線共享網絡,并在桌面上跳出了包含鏈接https://local.avast.com的一個彈窗(如漏洞復現中給出的圖示)。
我有些疑惑,后來我才搞明白,原來之前我是用OS X系統中SSID包含XSS Payload的無線網絡安裝的Avast殺毒軟件,而現在,Avast殺毒軟件突然就連接到了這個無線網絡,且其防火墻內置的網絡接入提示(Avast Network Notification )觸發了其SSID包含XSS Payload,由于跳出了上述彈窗,形成了一個XSS漏洞。
測試過程
據Avast官方介紹,Avast是領先且具備下一代網絡攻擊防護的殺毒廠商,能實時阻止異常流量和黑客攻擊,注重保護用戶隱私和信息安全。Avast擁有先進的端到端防護技術,其中內置的“防火墻”功能就是一個典型應用,可以實時捕獲用戶系統中進出的異常流量。默認配置中,當Avast接入某個網絡后,該防火墻會自動給出網絡接入提示(Avast Network Notification ),如下圖所示,它會提示用戶,當前Avast和系統的接入網絡為SSID是 “My Hotspot” 的無線網絡。

跳出彈窗后,用戶可以選擇當前接入網絡的類型,有“Private”和 “Public” 兩種選項,但問題就在于,網絡接入提示(Avast Network Notification )中不會對接入無線網絡的SSID字段執行過濾,如果攻擊者像我那樣構造了惡意包含XSS Payload的SSID名稱,那么,用戶就會受到XSS攻擊。
XSS

[1] [2]  下一頁

【聲明】:黑吧安全網(http://www.zjtpzs.live)登載此文出于傳遞更多信息之目的,并不代表本站贊同其觀點和對其真實性負責,僅適于網絡安全技術愛好者學習研究使用,學習中請遵循國家相關法律法規。如有問題請聯系我們,聯系郵箱[email protected],我們會在最短的時間內進行處理。
  • 最新更新
    • 相關閱讀
      • 本類熱門
        • 最近下載
        神秘东方电子游艺 老11选5为什么停了 qq游戏大厅游戏列表 幸运飞艇pk10微信群 山西快乐10分 大龙地产股票最新消 四川麻将规则怎么算钱 福建快3开奖结果今天的 信誉最好的棋牌 安徽十一选五开奖结果图 浙江11选5 皮皮麻将app 金游世界棋牌? 天天贵阳麻将升级版下载 2o18排列三走势图 联合式橄榄球比分网 区块链网