ftofficer|张聪的blog

又一起Gmail的XSS问题。

http://www.news.com/Gmail-cookie-vulnerability-exposes-users-privacy/2100-1002_3-6210353.html?part=rss&tag=2547-1_3-0-20&subj=news

Petko Petkov of "ethical hacking" group GNUCitizen has developed a proof-of-concept program to steal contacts and incoming e-mails from Google Gmail users.

"This can be used to forward all your incoming e-mail," Pure Hacking security researcher Chris Gatford said. "It’s just a proof of concept at the moment, but what they’re demonstrating is the potential to use this vulnerability for malicious purposes."

According to Gatford, attackers could compromise a Gmail account–using a cross-site scripting vulnerability–if the victim is logged in and clicks on a malicious link. From that moment, the attacker can take over the session cookies for Gmail and subsequently forward all the account’s messages to a POP account.

[…]
"People do use private accounts to store work information," IBRS security analyst James Turner said.

[…]
"When you have organizations like Google spending countless man-hours
reducing security vulnerabilities…you can imagine how bad the actual
situation is for other organizations," Gatford said.

通过XSS注入到当前的Web应用程序当中，然后执行程序，窃取Cookie，进而窃取隐私。非常简单的经典的攻击方式。但是在Web的世界里，Cookie就是一切隐私，也是唯一的隐私。这是一个很大的问题。

这种问题很像传统安全问题里面的权限提升，本质是使用某种诸如手段让自己的代码可以运行在其他人的安全上下文当中。在Web世界里，这个问题更加严重：毕竟在桌面系统上面伪造安全令牌时非常复杂的，但是在浏览器尚上，一旦获取到Cookie，伪造会变得非常容易。

进而考虑一下，传统的安全问题当中，恶意代码提升权限的目的是为了能够做更多的事情，例如对用户计算机的完全的特权访问。在Web安全当中，这个问题有些类似，通过XSS的方式，代码可以以“当前用户”的身份做更多的事情，例如，去感染更多的用户。

随着Web应用程序越来越流行，这种安全问题最终会变得很严重：试想一下，有一天，你的计算机（如果还可以称为计算机的话）上面不需要有硬盘，不需要太多的内存，你需要的只是一个固化在ROM里面的浏览器——Web终端，通过高速的电缆或无线信号连接到互联网。你真正的数据都存储在网络上面的数据中心当中——在那里有无法计数的海量存储设备；你通过访问互联网上无处不在的Web应用程序来访问和处理这些数据。我可以用在线RSS阅读器读取网络上各种各样的blog文章；可以通过在线的视频点播或者电视系统观看电视节目；甚至你可以将自己的照片、视频、文档统统保存在互联网上，以便可以在各处查阅。

这时候的互联网就是一个操作系统，但是，你所有的隐私，都基于一些Cookie——存储在浏览器当中的一些短小的字符串。Cookie，就是你的一切隐私。

这是个很大的问题。