jQuery Mobile漏洞会有跨站脚本攻击风险

概述

根据国外媒体的最新报道，谷歌公司的安全工程师Eduardo Vela在jQuery Mobile框架中发现了一个安全漏洞，这个漏洞将会让 所有使用了jQuery Mobile的网站暴露于跨站脚本攻击风险之下 。

jQuery Mobile项目（jQuery框架中的一个组件）是一个基于HTML5的开发框架，在它的帮助下，开发者可以设计出能够适配目前主流移动设备和桌面系统的响应式Web站点以及应用程序。实际上，jQuery Mobile不仅可以为主流移动平台提供jQuery的核心库，而且它也是一个较为完整统一的jQuery移动UI框架。根据jQuery开发团队的介绍，目前全球范围内大约有十五万个活动站点是采用jQuery Mobile开发的。

jQuery Mobile是目前一个非常热门的项目，下图显示的是Stack Overflow上关于jQuery Mobile的提问数量增长情况：

下图显示的是jQuery Mobile的使用统计情况：

漏洞描述

几个月之前，当时的Vela正在苦苦寻找内容安全策略（CSP）的绕过方法，但是在研究的过程中他注意到了jQuery Mobile的一种非常有意思的行为。jQuery Mobile会从location.hash属性中获取任意的URL地址，然后再用innerHTML来处理这个URL地址所返回的响应，而在某些特定条件下，攻击者就可以利用它的这种特性来攻击目标网站。当他发现了这种奇怪的行为之后，他便开始继续研究，以确定网站是否存在跨站脚本漏洞。

Vela在对这个XSS漏洞进行了深入分析之后给出了该漏洞的运行机制，大致如下：

1.     jQuery Mobile首先会检查location.hash属性值。

2.     如果location.hash中的数据看起来跟URL地址差不多的话，它会尝试将其添加到浏览历史记录之中（通过history.pushuState实现），然后再利用XMLHttpRequest来对其进行请求访问。

3.     接下来，它会使用innerHTML来处理服务器端的响应数据。

它首先会尝试调用history.pushState方法，这会增加一定的攻击难度，因为你无法对一个跨域的URL使用history.pushState方法。安全专家解释称，虽然从理论上来说，history.pushState方法理应能够防范XSS攻击，但如果网站存在开放重定向漏洞的话，攻击者依旧有可能利用这种安全漏洞来对目标站点实施攻击。

下面是Vela给出的demo【 代码下载 】：

http://jquery-mobile-xss.appspot.com/#/redirect?url=http://sirdarckcat.github.io/xss/img-src.html

根据安全研究专家的描述，目前有很多网站都无法抵御这种类型的攻击，因为很多组织并不认为“开放重定向”是一种安全漏洞，而需要注意的是，像谷歌（ /search ）、YouTube（ /redirect ）、Facebook（ /l.php ）、百度（ /link ）以及雅虎（ /ads/pixe l）这样的热门网站都存在这种安全漏洞。

坏消息来了

实际上，这是一个非常简单的漏洞，想要找到这种漏洞其实也很容易。在Vela确认了该漏洞之后，他便立刻将漏洞信息上报给了jQuery Mobile的开发团队，但是当开发团队确认了该漏洞将会给用户带来的安全风险之后，Vela却被告知这个漏洞不会得到修复。

如果修复了该漏洞的话，目前很多正在运行的Web站点和应用程序都将会受到影响，这也是开发团队选择不修复该漏洞的原因之一。Vela在其发表的研究报告【 传送门 】中写到：“jQuery Mobile团队解释称，他们认为“开放重定向”是一种安全漏洞，但是jQuery Mobile的这种获取并呈现URL内容的这种行为并不是一种安全缺陷，而且如果要修复这种所谓的“安全漏洞”，那么将会使大量目前已上线的Web站点和应用程序出现异常，所以他们并不打算做任何的修改。这也就意味着，jQuery Mobile的开发团队不会就这个问题发布任何的更新补丁。而这也同样意味着，所有使用了jQuery Mobile且存在开放重定向的网站都将存在跨站脚本漏洞。”

如果目标网站不存在开放重定向漏洞的话，攻击者是否还可以利用这个XSS漏洞来实施攻击呢？Vela和很多其他的安全研究人员也正在进行尝试，但目前仍未取得成功。

Vela表示：“如果你有时间的话，你可以在没有开放重定向漏洞的条件下尝试去利用这个XSS漏洞来实施攻击，这也是一种研究思路。我试过很多种方法，但目前都还没有取得成功。”

总结

开放重定向（Open Redirect）是非常常见的，但它也同样会给网站和应用程序带来巨大的安全风险，因此Vela建议安全社区应该修复“开放重定向”这个功能中存在的安全问题。或者说我们应该统一思想，然后一起将其视为一种安全漏洞。如果整个安全行业在这一点无法达成一致的话，估计还有更多的XSS漏洞在等待着我们。

赞 (0)

相关推荐

  • jQuery Mobile页面跳转后未加载外部JS原因分析及解决

    在使用jQuery Mobile进行Web开发中,当页面跳转时(pageA => pageB),在pageB中引用的JS并未成功运行.因为,JQM并为将整个页面加载到当前的dom中,仅将data-role="page"元素加入当前的dom中. 因此,在<head>中引入的外部JS文件,以及<page>标签外的JS均不能正常运行,刷新页面后方可加载成功. 鉴于JQM这个特性不太可能主动更改,可以用两种方法来解决:一是在index页面中,注册所有需要使用到的外

  • jquerymobile局部渲染的各种刷新方法小结

    在JQueryMobile页面在第一次初始化进行一次整体渲染,动态生成的需要局部渲染. 在jquerymobile实现listview局部渲染的方法: 复制代码 代码如下: function queryPublishOrderList(trackOrDealOrInsp,userCode,type,pageNum){      var queryPublishOrderListURL="http://xxx.xxx.xxx.xxx/Myapp/WorkOrderSelByTypeService.

  • 使用jQueryMobile实现滑动翻页效果的方法

    使用jQueryMobile实现滑动翻页效果的方法

    本文实例讲述了使用jQueryMobile实现滑动翻页效果的方法.分享给大家供大家参考.具体分析如下: 滑动手势在移动设备是很流行的,在移动设备中滑动翻页中很常见 虽然这个功能可以在jQueryMobile中实现,但是个人与之前一篇[jQuery手机浏览器中拖拽动作的艰难性分析]中的观点一致,由于这是在手机浏览器中浏览,而不是安卓的一个独立APP,所以不要经常除点击以外的移动设备手势,以免跟手机浏览器与手机系统本身的手势发生冲突. 那么,使用jQueryMobile实现滑动翻页的效果到底怎么做呢

  • jquery mobile的触控点击事件会多次触发问题的解决方法

    jquery mobile 对手势触控提供了如下几个事件监听: 复制代码 代码如下: tap  当用户点屏幕时触发taphold 当用户点屏幕且保持触摸超过1秒时触发swipe 当页面被垂直或者水平拖动时触发.这个事件有其相关联的属性,分别为scrollSupressionThreshold, durationThreshold, horizontalDistanceThreshold, and verticalDistanceThresholdswipeleft 当页面被拖动到左边方向时触发s

  • jquery mobile实现拨打电话功能的几种方法

    如果需要在移动浏览器中实现拨打电话,发送email,调用sns等功能,jquery mobile提供的接口是一个好办法. 采用url链接的方式,实现在safari ios,android 浏览器,webos 浏览器,塞班浏览器,ie,operamini等主流浏览器,进行拨打电话功能. 1.最常用的方式: 复制代码 代码如下: <a href="tel:+120">报警!</a> 在拨号界面,显示号码,并提示拨打. 支持大部分的浏览器,但是在qq浏览器上支持不好.

  • jquery Mobile入门—多页面切换示例学习

    jquery Mobile入门—多页面切换示例学习

    1.在JQuery Mobile中,多个页面的切换是通过<a>元素.并将<href>属性设置为#+对应的id号的方式进行的. 2.多页面切换示例代码: 复制代码 代码如下: <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN"> <HTML> <HEAD> <TITLE> New Document </TITLE> <meta

  • jQuery Mobile漏洞会有跨站脚本攻击风险

    jQuery Mobile漏洞会有跨站脚本攻击风险

    概述 根据国外媒体的最新报道,谷歌公司的安全工程师Eduardo Vela在jQuery Mobile框架中发现了一个安全漏洞,这个漏洞将会让 所有使用了jQuery Mobile的网站暴露于跨站脚本攻击风险之下 . jQuery Mobile项目(jQuery框架中的一个组件)是一个基于HTML5的开发框架,在它的帮助下,开发者可以设计出能够适配目前主流移动设备和桌面系统的响应式Web站点以及应用程序.实际上,jQuery Mobile不仅可以为主流移动平台提供jQuery的核心库,而且它也是

  • UBB的跨站脚本攻击的漏洞

    近日,由于发现一些站点仍然存在UBB的跨站脚本攻击的漏洞.跨站脚本攻击虽然很少会对服务器造成一些什么比较大的影响,但对于一个站点来说,存在这种漏洞实在是太不值得!小则,弹点 什么东东出来;中则改改主页;重则窃取用户的COOKIES资料,更甚者将会G掉浏览者的硬盘.一个站点被变成一个恶意网站,还有谁敢来?如果再加上该站的站长比较"盲"一些,岂不乱套了? 小小的一段代码就真的能使一个站点成这样?好叫我们来具体的看看所谓的跨站脚本攻击到底会成为什么样的攻击模式.进入一个含UBB功能的站点,比

  • 跨站脚本攻击XSS分类介绍以及解决方案汇总

    跨站脚本攻击XSS分类介绍以及解决方案汇总

    目录 1.什么是XSS? 2.XSS 分类 2.1 反射型XSS 2.2 存储型XSS 2.3 DOM型XSS 3.漏洞危害 4.测试方法 5.解决方案 5.1 httpOnly 5.2 客户端过滤 5.3 充分利用CSP 5.5 服务端校验 总结 1.什么是XSS? Cross-Site Scripting(跨站脚本攻击)简称 XSS,是一种代码注入攻击.攻击者通过在目标网站上注入恶意脚本,使之在用户的浏览器上运行.利用这些恶意脚本,攻击者可获取用户的敏感信息如 Cookie.SessionI

  • 字符集导致的浏览器跨站脚本攻击分析

    |=-------------------------------–=| |=-----–=[ 字符集导致的浏览器跨站脚本攻击 ]=-----–=| |=-------------------------------–=| |=-------------=[ By jianxin ]=------------=| |=-----------=[ jianxin@80sec.com ]=----------=| |=--------------------------------=| 文中<已经被

  • 最新的黑客技术：XSS跨站脚本攻击详细介绍

    总体上介绍 简单介绍什么是XSS攻击 如何寻找XSS漏洞 对于XSS攻击的总体思路 来自内部的攻击: 如何寻找内部的XSS漏洞 如何构造攻击 如何利用 结何实例攻击,如DVBBS&BBSXP 来自外部的攻击 如何构造XSS攻击 如何欺骗管理员打开 XSS与其它技术的结何 与mssql injection的结合 QQ跨站的结何 国内大型统计网站的跨站漏洞 社会工程学 制作恐怖的flash木马 制作方法由李丰初写 总结 正文: XSS总体介绍 什么是XSS攻击 XSS又叫CSS  (Cross Si

  • 研究UBB的跨站脚本攻击之综合篇

    近日,由于发现一些站点仍然存在UBB的跨站脚本攻击的漏洞.跨站脚本攻击虽然很少会对服务器造成一些什么比较大的影响,但对于一个站点来说,存在这种漏洞实在是太不值得!小则,弹点什么东东出来;中则改改主页;重则窃取用户的COOKIES资料,更甚者将会G掉浏览者的硬盘.一个站点被变成一个恶意网站,还有谁敢来?如果再加上该站的站长比较"盲"一些,岂不乱套了?  小小的一段代码就真的能使一个站点成这样?好叫我们来具体的看看所谓的跨站脚本攻击到底会成为什么样的攻击模式.进入一个含UBB功能的站点,比

  • 也谈跨站脚本攻击与防御

    网络上曾经有过关于跨站脚本攻击与防御的文章,但是随着攻击技术的进步,以前的关于跨站脚本攻击的看法与理论已经不能满足现在的攻击与防御的需要了,而且由于这种对于跨站脚本认识上的混乱,导致现在很多的程序包括现在的动网都存在着跨站脚本过滤不严的问题,希望本文能给写程序的与研究程序的带来一点思路. 还是首先看看跨站脚本漏洞的成因,所谓跨站脚本漏洞其实就是Html的注入问题,恶意用户的输入没有经过严格的控制进入了数据库最终显示给来访的用户,导致可以在来访用户的浏览器里以浏览用户的身份执行HTml代码,数据流

  • 跨站脚本攻击XSS（Cross Site Script）的原理与常见场景分析

    前言 前段时间在网上看到一个网址,好奇之下进去看了看.胜利的条件是你录入一个串,让其调用prompt(1) .发现里面有好多想不到的东西,今天终于悠闲了来这里说说XSS. XSS 原理 跨站脚本攻击(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS.恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目

  • 跨站脚本攻击XSS原理与防范实例分析

    跨站脚本攻击XSS原理与防范实例分析

    本文实例讲述了跨站脚本攻击XSS原理与防范.分享给大家供大家参考,具体如下: 跨站脚本攻击(Cross Site Script为了区别于CSS简称为XSS)指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的. 一个简单的留言板 我们有个页面用于允许用户发表留言,然后在页面底部显示留言列表 <!DOCTYPE html> <html> <head> <?php include(

  • 跨站脚本攻击XSS与CSRF区别方法详解

    跨站脚本攻击XSS与CSRF区别方法详解

    目录 引文 简介 XSS与CSRF区别 ONE TWO XSS攻击方法 反射型 存储型 DOM型 XSS攻击危害 结语 引文 上篇文章给大家带来了XML实体注入(XXE)不知道小伙伴们学了后有没有自己去运用,今天给大家带来了一个名为跨站脚本攻击(XSS)的漏洞的介绍. 简介 XSS 攻击全称跨站脚本攻击,XSS 是一种在 web 应用中的安全漏洞,它允许攻击者将代码植入到 web 网站里面,供给其它用户 访问,当用户访问到有恶意代码的网页就会产生 xss 攻击. XSS与CSRF区别 之前讲过C

随机推荐