JavaScript包含的Ajax是Web2.0應用的一個(gè)重要組成部分。該部分的進(jìn)化發(fā)展使網(wǎng)絡(luò )變成了超級平臺。該轉變同時(shí)也催生了新品種的病毒和蠕蟲(chóng)，比如Yamanner,Samy 以及Spaceflash等等。Google,Netflix,Yahoo 以及MySpace等門(mén)戶(hù)網(wǎng)站在過(guò)去的幾個(gè)月里都因為新的漏洞而蒙受一定損失。黑客們可以利用這些漏洞進(jìn)行釣魚(yú)，跨站點(diǎn)腳本(XSS)以及跨站點(diǎn)偽造(XSRF)請求等攻擊。
Ajax中沒(méi)有固有的安全漏洞，但是對該技術(shù)向量的適配顯著(zhù)地改變了網(wǎng)絡(luò )應用的開(kāi)發(fā)途徑以及方法論。以前，DCOM和CORBA組成核心中間件層的時(shí)候，將數據和對象序列化非常困難。Ajax使用簡(jiǎn)單的GET,POST或者SOAP調用，來(lái)轉換XML,HTML,JS Array,JSON,JS Objects以及其他定制的對象；全部這些操作都不需要調用中間件層。Ajax的這種綜合能力使應用服務(wù)器與瀏覽器之間的數據交換非常流暢。從服務(wù)器端傳來(lái)的信息動(dòng)態(tài)地被注入到當前的DOM相關(guān)環(huán)境，然后瀏覽器的DOM狀態(tài)重置。在講安全漏洞之前，我們先來(lái)看看促成Web2.0漏洞的關(guān)鍵因素。
多重分散的終端點(diǎn)以及隱藏調用——Web2.0應用與Web1.0的主要區別就是信息訪(fǎng)問(wèn)機制的區別。比起它的前身Web1.0, Web2.0應用有數個(gè)Ajax終點(diǎn)。潛在的Ajax調用分散于整個(gè)瀏覽器頁(yè)面，并且能夠被各個(gè)事件分別調用。開(kāi)發(fā)者恨難應付Ajax調用的這種分散性，并且由于這些調用是隱藏的，不那么明顯，它還可能導致代碼不規范。
認證混亂——輸入和輸出內容認證是應用的重要因素之一。Web2.0應用使用橋，mashups,還有反饋等等。很多情況下，它假定“另一方”（讀取服務(wù)器端或者客戶(hù)端代碼）已經(jīng)實(shí)現了認證，這種混亂就導致了雙方都沒(méi)有實(shí)現適當的認證控制。
不受信任的信息來(lái)源——Web2.0應用從很多不受信任的來(lái)源比如反饋，博客，搜索結果中獲得信息。這些內容在提供給終端瀏覽器之前從來(lái)沒(méi)有被認證，這就有可能引發(fā)跨站點(diǎn)攻擊。黑客還有可能在瀏覽器中加載JavaScript，以便迫使瀏覽器發(fā)出跨域的調用并打開(kāi)安全漏洞。那樣的話(huà)，這些致命的漏洞就能被病毒和蠕蟲(chóng)利用。
數據序列化——瀏覽器可以調用Ajax來(lái)實(shí)施數據序列化。它可以獲取JS array,Objects,Feeds,XML文件，HTML 塊以及JSON。如果這些序列塊中的某一個(gè)被解析并修改了，黑客們就可以強迫瀏覽器執行惡意腳本。不受信任信息與數據序列化的結合，對終端用戶(hù)的安全是致命的。
動(dòng)態(tài)腳本構成和執行——Ajax會(huì )建立一個(gè)后端通道，從服務(wù)器獲取數據，然后將它傳送給DOM。實(shí)現這一點(diǎn)的必要條件就是動(dòng)態(tài)地執行JavaScripts，以便隨時(shí)更新DOM或者瀏覽器頁(yè)面緩存的狀態(tài)。Ajax通過(guò)調用定制的功能或者eval()功能。未經(jīng)認證的內容或者使用不安全的調用，輕則導致會(huì )話(huà)內容泄露，重則迫使瀏覽器執行惡意內容等各種后果。
Web2.0應用可能因為上面提到的1個(gè)或多個(gè)失誤而變得易受攻擊。如果開(kāi)發(fā)者不夠審慎，沒(méi)有花心思在安全管理上的話(huà)，那么服務(wù)器和瀏覽器端都會(huì )出現安全問(wèn)題。以下是10個(gè)可能的安全漏洞的簡(jiǎn)要說(shuō)明。
（1）畸形的JS對象序列
JavaScript支持面向對象編程(OOP)技術(shù)。它有很多不同的內置對象，也允許用戶(hù)自己創(chuàng )建對象。使用者可以用new object() 或者自己編輯如下代碼來(lái)創(chuàng )建新的對象。
message = {
from : "john@example.com",
to : "jerry@victim.com",
subject : "I am fine",
body : "Long message here",
showsubject : function(){document.write(this.subject)}
};
這是一個(gè)簡(jiǎn)單的消息對象，其中有2個(gè)字段需要電子郵件地址。我們可以使用Ajax來(lái)將該對象序列化并用JavaScript代碼編譯。程序員可以將它賦值到變量或者eval()。如果攻擊者發(fā)送嵌入了腳本的惡意“主題”，那么讀者就將成為跨站點(diǎn)腳本攻擊的受害者。JS對象既包含數據也包含方法。對JS對象序列的不當使用將產(chǎn)生可以被詭計多端的注入代碼利用的安全漏洞。
(2)JSON對注入
JavaScript對象符號(JSON)是一個(gè)簡(jiǎn)單而有效的少量數據交換格式，它包含對象，數組，Hash表，向量以及列表數據結構。JavaScript, Python, C, C++, C# 和Perl languages都支持JSON。JSON序列在Web2.0應用中是個(gè)非常有效的交換機制。開(kāi)發(fā)者頻繁使用Ajax和JSON，獲取并傳送必要的信息給DOM。下面是個(gè)簡(jiǎn)單的帶有不同的name值對的JSON對象：“bookmarks”對象。
{"bookmarks":[{"Link":"www.example.com","Desc":"Interesting link"}]}
黑客們可以在Link或者Desc中注入惡意腳本。如果DOM和可執行程序被注入了，XSS目錄也會(huì )被注入。這是使終端用戶(hù)感染惡意內容的另一種方法。
(3)JS數組中毒
JS數組是另一個(gè)比較普遍的序列化對象。人們可以很容易地跨平臺移植它，并且它在使用不同語(yǔ)言的結構中也很有效。感染一個(gè)JS數組可以擾亂整個(gè)DOM環(huán)境。黑客們可以在瀏覽器中使用簡(jiǎn)單的跨站點(diǎn)腳本攻擊JS數組。下面是一個(gè)JS數組的例子：
new Array(“Laptop”, “Thinkpad”, “T60”, “Used”, “900$”, “It
is great and I have used it for 2 years”)
該數組是從一個(gè)拍賣(mài)二手筆記本的網(wǎng)站傳出來(lái)的。如果這個(gè)數組對象在服務(wù)器端沒(méi)有被仔細處理，黑客就可以在最后字段中注入腳本。這種注入將危及瀏覽器安全并被攻擊者利用。
(4)被修改的XML數據流
Ajax調用接受來(lái)自多個(gè)地址的XML。這些XML塊來(lái)自運行在SOAP,REST或者XML-RPC的網(wǎng)絡(luò )服務(wù)。這些網(wǎng)絡(luò )服務(wù)是由從第三方的代理橋那里接收過(guò)來(lái)的。如果這些第三方XML數據流被攻擊者修改過(guò)，那么攻擊者就可能向其中注入惡意內容。
瀏覽器從它自帶的XML解析器接收該數據流。該解析器容易受不同的XML炸彈的攻擊。人們也可以在該數據流中注入腳本，這樣就可以導致跨站點(diǎn)腳本攻擊(XSS)。瀏覽器接收未經(jīng)認證的XML數據流的話(huà)，這就會(huì )危及終端客戶(hù)端的安全。
(5)DOM中腳本注入
前四個(gè)漏洞都是由于序列化問(wèn)題引起的。一旦瀏覽器收到序列化的對象數據流，開(kāi)發(fā)者會(huì )發(fā)出某種調用來(lái)訪(fǎng)問(wèn)DOM。這種調用的目的是將新內容“重寫(xiě)”或者“重填”入DOM中，可以調用eval()這個(gè)定制功能，也可以使用document.write()。如果這些調用是在不受信任信息流上進(jìn)行的，瀏覽器就有可能由于DOM的操作漏洞而受攻擊。攻擊者可以用很多document.*()調用來(lái)向DOM環(huán)境中注入XSS。
例如，這段JavaScript代碼：Document.write(product-review)。
在這里，“Product-review”是從第三方blog上獲得的變量。如果它含有JavaScript會(huì )怎樣？答案很明顯。這個(gè)JavaScript就會(huì )被瀏覽器運行。
（6）跨域訪(fǎng)問(wèn)和回調
Ajax不能從瀏覽器跨域訪(fǎng)問(wèn)。所有比較流行的瀏覽器都有個(gè)安全特性，那就是攔截跨域訪(fǎng)問(wèn)。一些網(wǎng)站服務(wù)為對象序列提供回調功能。開(kāi)發(fā)者可以使用這個(gè)功能來(lái)把網(wǎng)站服務(wù)整合到瀏覽器本身。人們可以把該功能名傳回，這樣瀏覽器一找到回調對象數據流，它就會(huì )被瀏覽器中早已有的特殊功能名執行。
這個(gè)回調對使用瀏覽器內認證的開(kāi)發(fā)者來(lái)說(shuō)是個(gè)額外負擔。如果輸入的對象數據流未經(jīng)瀏覽器認證那么終端客戶(hù)端就會(huì )成為跨域攻擊的目標。不管是有意還是無(wú)意的，跨域服務(wù)可以向瀏覽器中注入惡意內容。該跨域調用在當前DOM環(huán)境中運行，于是導致當前對話(huà)也易受攻擊。在實(shí)現應用之前，人們需要仔細檢查整個(gè)跨域功能。
（7）RSS和Atom注入
聯(lián)合的反饋，RSS以及Atom,是最普遍的一種將站點(diǎn)更新信息傳到網(wǎng)絡(luò )上的方法。許多新聞，博客，門(mén)戶(hù)站點(diǎn)等等，都在網(wǎng)絡(luò )上共享多個(gè)反饋。反饋是標準的XML文檔，并且可以被任何程序接收。Web2.0應用使用窗口小部件或者瀏覽器內部元件整合了聯(lián)合反饋。這些組件調用Ajax來(lái)訪(fǎng)問(wèn)反饋。
這些反饋可以被終端用戶(hù)方便地選擇。一旦用戶(hù)選擇了它們，這些反饋就會(huì )被解析并注入到DOM中。那么如果這個(gè)反饋在注入之前沒(méi)有被適當地認證過(guò)，就會(huì )出現一些安全問(wèn)題。人們可以往瀏覽器中注入惡意鏈接或者JavaScript代碼。注入之后，就大事不妙了，最終結果是XSS和對話(huà)被黑客攔截。
（8）單擊炸彈
Web2.0應用可能不會(huì )很簡(jiǎn)單地就被黑客攻下，但他們可以對它進(jìn)行基于事件的注入。人們可以將帶有"onclick"字樣的惡意鏈接用JavaScript注入。這樣，瀏覽器就帶著(zhù)個(gè)隨時(shí)等待終端用戶(hù)右鍵點(diǎn)擊來(lái)觸發(fā)的炸彈。一旦用戶(hù)點(diǎn)擊了鏈接或按鈕，能夠啟動(dòng)炸彈的那個(gè)事件被啟動(dòng)了，那么攻擊就成功了。此類(lèi)攻擊會(huì )導致對話(huà)被惡意代碼攔截。
這也是由于人們從那些沒(méi)有經(jīng)過(guò)正確驗證的不受信任源處獲得的信息，所導致的安全漏洞。為了利用該安全漏洞，它需要終端客戶(hù)端觸發(fā)一個(gè)事件。這個(gè)事件也許是諸如點(diǎn)擊按鈕或者鏈接的這種無(wú)害事件，但是點(diǎn)擊后就使會(huì )用戶(hù)損失慘重。它可能引起某個(gè)惡意事件，將當前對話(huà)信息發(fā)送給目標，又或者在當前瀏覽器環(huán)境中執行一系列腳本攻擊。
(9) 基于Flash的跨域訪(fǎng)問(wèn)
黑客們可以使用Flash插件的Ajax接口，從而用瀏覽器中的JavaScritps發(fā)出GET和POST請求。這個(gè)接口使黑客們能進(jìn)行跨域調用。為了避免安全問(wèn)題，該Flash插件實(shí)現了根據策略訪(fǎng)問(wèn)其他域的功能。該策略可以通過(guò)在域的根部放置crossdomain.xml文件來(lái)配置。如果放置的文件配置不當——很普遍的現象——它就可能允許跨域訪(fǎng)問(wèn)。下面是一個(gè)配置不當的XML文檔：
現在可以從瀏覽器自身發(fā)出跨域調用了。這個(gè)結構還有一些其他安全問(wèn)題?；贔lash的豐富網(wǎng)絡(luò )應用(RIA)如果配置錯誤的話(huà)，很容易由于A(yíng)jax的跨域訪(fǎng)問(wèn)Bug而被攻擊。
(10) XSRF
跨域偽造請求(XSRF)是個(gè)老牌的攻擊向量了，它迫使瀏覽器向不同的域發(fā)出HTTP GET或者POST請求；這些請求可以跨域在運行的應用邏輯中啟動(dòng)某種事件。它可能請求修改密碼或者電子郵件地址等。瀏覽器調用它后，它重放cookie并獲得身份認證。這就是該請求的關(guān)鍵部分。如果某個(gè)應用只根據cookie來(lái)判識身份，那么該攻擊就會(huì )成功。
Web2.0中Ajax是就XML-RPC,SOAP或者REST與后端網(wǎng)絡(luò )服務(wù)進(jìn)行對話(huà)的，通過(guò)GET和POST可以進(jìn)行這些調用。換句話(huà)說(shuō)，人們可以對這些網(wǎng)絡(luò )服務(wù)進(jìn)行跨站點(diǎn)調用，從而危及受害者與網(wǎng)絡(luò )服務(wù)接口的身份信息。XSRF這個(gè)攻擊向量很有趣，它在這個(gè)新界定的端點(diǎn)情況中創(chuàng )造了新的層次。這些終點(diǎn)可能是為Ajax或者網(wǎng)絡(luò )服務(wù)而準備的，但它們也有可能被跨域請求所激活。
對安全漏洞的攻擊以及相應對策
Web2.0應用有多個(gè)終端點(diǎn)；每個(gè)點(diǎn)都是威脅的侵入點(diǎn)。為了保證安全，我們應當保護好所有這些點(diǎn)。在將第三方信息發(fā)送給客戶(hù)端之前要對其進(jìn)行徹底處理。
為了處理Ajax序列，必須在它們到達DOM之前對輸入數據流進(jìn)行驗證。XML解析以及跨域安全問(wèn)題也需要額外重視，并實(shí)施更好的安全管理措施。我們應當遵循那個(gè)最簡(jiǎn)單最笨拙的原則：不讓未經(jīng)認證的跨域信息進(jìn)入瀏覽器。有趣的是，到目前為止，安全專(zhuān)家們都不主張使用客戶(hù)端腳本來(lái)進(jìn)行輸入驗證，因為這很容易被規避掉。
Web2.0促成了很多瀏覽器安全相關(guān)的新的漏洞。利用這些安全漏洞很難但不是不可能。安全問(wèn)題以及促成因素結合起來(lái)將嚴重影響那些大的網(wǎng)絡(luò )團體，比如能被攻擊者蠕蟲(chóng)和病毒利用的那些組織。最終將導致身份信息的泄漏。
結論
本文簡(jiǎn)單地講了一些可能出現的關(guān)于A(yíng)jax漏洞。還有很多其他潛在的漏洞，比如利用跨域代理來(lái)在瀏覽器中建立單項通道或者存儲變量。
Web2.0中很多邏輯都轉到了客戶(hù)端。這會(huì )將整個(gè)應用暴露給一些嚴重的威脅。對整合來(lái)自多方的、不受信源的數據的迫切要求也將全面增加風(fēng)險向量：XSS,XSRF,跨域問(wèn)題以及客戶(hù)端上的序列，還有不安全的網(wǎng)站服務(wù)，服務(wù)器端的XML-RPC和REST訪(fǎng)問(wèn)。相反地，Ajax可被用來(lái)構造優(yōu)美的無(wú)縫數據整合。但是，任一不安全的調用或者信息流都會(huì )使其產(chǎn)事與愿違的效果，從而促成可被利用的安全漏洞。
這些新技術(shù)向量很有前景，令很多人興奮不已，但是攻擊者，病毒和蠕蟲(chóng)作者對它更感興趣。為了保障安全，開(kāi)發(fā)者應當在這些細節方面格外小心。
聯(lián)系客服
