新网络攻击通过浏览器Cookies威胁用户财务 要小心了
扫描二维码随身看资讯
使用手机 二维码应用 扫描右侧二维码,您可以
1. 在手机上细细品读~
2. 分享给您的微信好友或朋友圈~
在不知道或需要提醒的情况下,浏览器cookies并不能完全确保不受攻击。
DHS赞助的卡内基梅隆大学软件工程学院的CERT于本周下发了一个警告,警告用户关于一类持续流行的涉及用户隐私的cookies漏洞,这些漏洞甚至可以使得用户财务状况处于危险之中。
该警报于上个月的USENIX安全专题讨论会上的一篇研究论文中提出,被称之为 “cookies缺乏完整性:累及现实世界”,该篇文章由中国清华大学的教授,国际计算机科学研究所,微软,加拿大华为,和加利福尼亚大学的伯克利共同撰写。
本文对n-depth tour cookies注入攻击(这甚至可以发生在安全的HTTPS链接中),同时本文还介绍了在RFC 6265中的cookie说明书中的漏洞和复现该问题时的实施规范。
在USENIX上所描述的攻击,涉及到一个基于网络的中间过度的位置,在这个过度过程中,攻击者可以在一个HTTP链接中注入cookies,这也会附上自己的链接。研究人员说,该漏洞出现在一些高流量的网站——通过名字它们被确定为谷歌和美国**,同时这些漏洞可能会造成包括隐私侵犯,账户劫持,财务损失在内的一些后果。
“你在一个攻击者可以控制的网络上(例如在有开放WiFi的地方i)。攻击者暂时劫持你的浏览器来对一个目标网站进行cookies注入。”Weaver告诉Threatpost。“现在,当你访问该网站(在不同的网络,在不同的情况下),你的浏览器会在网站上呈现坏的cookies,并且这个网站将以一种网站依赖的方式在网站上呈现坏的cookies。例如,它可以只是简单地跟踪用户,也可以是埋伏在cookies本身中的一个完整的XSS攻击。”
在该文中,研究人员指出,隔离cookies域收效甚微,但不同的是,相关域可以共享一个cookie范围。文章中这样写到:
一个cookie可能有一个“安全的”flag,显示它应该只能在HTTPS上,确保对网络“中间人”(MITM)的保密性。然而,并没有类似的措施去保护免于对手的相同性:一个HTTP响应是被允许为其域名建立一个安全的cookie的。对手可以在一个相关的域上通过利用被分享 的cookie扰乱cookie的完整性。
甚至不是同源政策,这意味着在域名之间墙的内容对于这些攻击来说是一种有效的威慑,因为基于网络的攻击者可以迫使受害者的浏览器访问恶意网站。
“由于RFC 6265不指定任何机制来提供隔离和完整性保证,Web浏览器的实现并不总是进行身份验证的域设置一个cookie,”CERT警告说。“恶意的攻击者可以利用这个建立一个cookie,这个cookie将会在之后用到,通过一个HTTPS连接而不是实际网站设置的cookie。”
研究者们提出了许多可能的缓解措施,其中主要的有实现HTTP严格安全传输(HSTS),以及改变浏览器制造商。文章还提出了概念证明更好的浏览器扩展可以使HTTP和HTTPS域之间分更好的分离cookies。
“对于所有你所浏览过的HSTS支持的网站,HSTS防止你的浏览器免于接受攻击者的cookies,因为他们通过HTTP不是HTTPS。”韦弗说:“所以任何给其基础域名和所有子域名建立HSTS的网站都是能够进行有效免疫的。
Weaver说“浏览器需要改变cookies如何运作的方式,这始终是一个充满了危险的区域,因为一个更安全的cookie策略可能会打破现有的网络。”
天天绕圈圈游戏 1.2.5 安卓版
加查海关与咖啡游戏 1.1.0 安卓版
大吉普越野驾驶游戏 1.0.4 安卓版
沙盒星球建造游戏 1.5.0 安卓版
秘堡埃德兰Elderand游戏 1.3.8 安卓版
地铁跑酷暗红双旦版 3.5.0 安卓版
跨越奔跑大师游戏 0.1 安卓版
Robot Warfare手机版 0.4.1 安卓版
地铁跑酷playmods版 3.18.2 安卓版
我想成为影之强者游戏 1.11.1 官方版
gachalife2最新版 0.92 安卓版
航梦游戏编辑器最新版 1.0.6.8 安卓版
喵星人入侵者游戏 1.0 安卓版
地铁跑酷黑白水下城魔改版本 3.9.0 安卓版
- 1
芭比公主宠物城堡游戏 1.9 安卓版
- 2
地铁跑酷忘忧10.0原神启动 安卓版
- 3
死神之影2游戏 0.42.0 安卓版
- 4
跨越奔跑大师游戏 0.1 安卓版
- 5
挂机小铁匠游戏 122 安卓版
- 6
烤鱼大师小游戏 1.0.0 手机版
- 7
咸鱼大翻身游戏 1.18397 安卓版
- 8
灵魂潮汐手游 0.45.3 安卓版
- 9
旋转陀螺多人对战游戏 1.3.1 安卓版
- 10
Escapist游戏 1.1 安卓版
- 1
开心消消乐赚钱版下载
- 2
Minecraft我的世界基岩版正版免费下载
- 3
暴力沙盒仇恨最新版2023
- 4
疯狂扯丝袜
- 5
黑暗密语2内置作弊菜单 1.0.0 安卓版
- 6
爆笑虫子大冒险内购版
- 7
姚记捕鱼
- 8
班班幼儿园手机版
- 9
秘密邻居中文版
- 10
千炮狂鲨