contadores publicos
Skip to content

這就是可以佔用您文件的嚴重WhatsApp故障的工作方式

最近幾個月,WhatsApp成為專家的攻擊目標,這不僅是因為Jeff Bezos遭受了嚴重的醫療侵害,還因為有報導表明2019年存在多個漏洞。

這只是去年8月發現的故障之一,如果您使用的是Web版本,則使Messenger服務可以訪問Windows或Mac文件。

在Checkpoint的人員發現漏洞之後,JavaScript專家Gal Weizman致力於調查此安全問題,並給出了該研究的有趣結論,例如該平台的Web版本。 Messenger是由Electron製作的,該工具可讓您創建基於Web的應用程序,這也是作為其他平台的代碼而經常出現的標準。

另外,Electron基於Chromium,它是Google Chrome引擎,與其他任何軟件一樣,也存在安全問題。

Weizman在此背景下發現的第一件事是,“通過使用WhatsApp網站,我可以找到包含消息元數據的對象形成的代碼行,對其進行處理,然後讓應用程序繼續正常運行,我發送消息,因此通過忽略用戶界面過濾機制來創建消息。”

然後我發現,就像在貝佐斯(Bezos)駭客中發生的那樣,通過從網址插入鏈接,您可以操縱最終目標,即使用偽裝和看起來像真實地址的地址重定向到我想要的任何站點。最上面:“在將橫幅發送給接收者之前,可以輕鬆地操縱橫幅的屬性。”

示例屏幕whatsapp違規

然後使用javascript,我能夠插入XSS惡意代碼。

“對於WhatsApp來說,幸運的是,基於Chromium的瀏覽器增加了針對 javascript:當我發現此漏洞時便是URI。不幸的是,對於WhatsApp,在其他瀏覽器(如Safari和Edge)中,此漏洞仍處於打開狀態。”

最後,它介紹了一種違反WhatsApp內容安全策略(CSP)的方法,後者是另一安全層。

WhatsApp Vulneracin

Gal Weizman獨自完成此操作後的結論是:

  1. 如果您的應用程序使用豐富的預覽標語,並且這些標語是在發送方設計的,則在接收方的過濾應該是完美的。
  2. CSP規則非常重要,可能已避免了很多此類災難。如果正確配置了CSP規則,則此XSS所獲得的功能將大大降低,能夠避免CSP配置的攻擊者可以從受害者那裡竊取有價值的信息,輕鬆加載外部有效負載,甚至更多!
  3. 如果要使用Electron,則必須確保每次Chromium更新都會對其進行更新,這一點非常重要:Chromium更新不僅是有趣的新功能,在大多數Chromium更新中,嚴重的漏洞正在修復中。在更新Chromium時,還應該更新基於Electron的應用程序,否則,將使用戶毫無理由地受到嚴重漏洞的攻擊。

編輯推薦