HTML5所帶來不好的一面 3-2

這篇文章是HTML5迷你系列的第二篇。你也可以看看第一篇:探討新的HTML5標準。從那些能夠加強網站互動的新功能開始。

而在今天的文章裡,趨勢科技將帶領讀者看看這些HTML5功能可能被攻擊者如何的濫用。這裡並不打算詳盡的列舉出來,但是你如果有興趣知道更多的資訊,我們會在本系列第三篇發表關於HTML5攻擊的深入報告。

下面並沒有照特別順序的,我們要介紹五種可能會利用HTML5功能的攻擊:

點擊劫持(Clickjacking)更加容易:點擊劫持本身不是種新的攻擊。它的目的是竊取受害者的滑鼠按鈕點擊,然後導到攻擊者所指定的其他頁面。攻擊者的目的是讓使用者在不知情下點擊了隱藏的連結。目前,對於點擊劫持最好的伺服器端防禦措施之一,是被稱為Framekilling的技術。本質上來說,受到影響的網站可以利用JavaScript來看看自己是否在一個iframe中被執行,如果是的話,就拒絕顯示。這種技術已經在用在Facebook、Gmail和其他一些網站中。但是HTML5在iframe增加了一個新的沙箱屬性,這會讓網站停止執行JavaScript。在大多數情況下,這其實是比較安全的設定,但它也有缺點,就是會抵消目前對點擊劫持最好的防禦。

  • 利用跨網域請求(Cross Origin Requests)或是WebSockets的端口掃描:有了HTML5,瀏覽器現在可以連到任何IP位址或網站(幾乎)的任何端口。雖然除非這目標的網站有特別的允許,不然並無法接收到連線的回應。但是研究人員已經表示,這類請求所花的時間可以用來判斷目標端口是打開還是關閉。這允許攻擊者可以直接利用瀏覽器對受害者的區域網路作端口掃描。

利用桌面通知做社交工程攻擊:我們在HTML5 好的一面的文章內有提到HTML 5的新功能 – 桌面通知。這些出現在瀏覽器之外的彈出視窗,其實是可以用HTML程式碼來客製化的。雖然這帶來了很不錯的互動可能性,但它也是社交工程攻擊,像是網路釣魚(Phishing)或是假防毒軟體等手法的寶庫。看看下面的圖片就可以想像攻擊者可以如何的利用這一個新功能了。

利用地理定位追蹤受害者:地理定位是HTML5新功能中最受注目的之一。因為安全和隱私考量,網站必須先得到使用者的允許才能夠獲得位置訊息。然而,就跟之前出現過的其他功能一樣,像是Vista的使用者帳戶控制,Android的應用程式權限,還有無效的HTTPS憑證等,這些需要使用者作決定的安全措施很少是有用的。而一旦有了授權後,網站不僅可以知道受害者的位置,而且還可以在使用者移動時也能即時的追踪他們。

  • 表格篡改:另一個新功能讓攻擊者可以在被注入JavaScript的網站(例如XSS攻擊)改變該網頁上的表格行為。舉例來說,攻擊者可以改變一個網路商店的正常行為,不是將內容送到購買或是登入頁面,而是將使用者的身分認證送到攻擊者的網站。

這裡只列了五項 HTML5可能導致的新攻擊,趨勢科技只是概略的描述。請繼續收看這迷你系列的最後一篇 –HTML5所帶來醜惡的一面 3-3

@原文出處:HTML5 – The Bad作者:Robert(資深威脅研究員)

@延伸閱讀:

 

◎ 歡迎加入趨勢科技社群網站