mala mala

要約

サンドボックスドメイン上に記録されたcookieを使って、ユーザーの限定的な訪問履歴を取得したり、検索キーワードを取得することが可能です。
検索エンジンや翻訳サービスなどで、他のサイトのコンテンツをproxyして表示する機能があると、単独では問題がないJavaScriptによるcookieを読み書きするコードが、同一のdomain上で実行されることになり影響が大きくなる場合があります。
4年前に報告したものですが、今でも影響があり、多くのサービスは未対策または対策が不完全です。

proxyする事業者むけ: JavaScriptからcookieが無効化されているブラウザのように振る舞うように document.cookie をHackする http://subtech.g.hatena.ne.jp/mala/20120709/13418196
4年前だと古いブラウザでは使えない状況だったが、今では無視して良いだろう。
Feature Policy https://github.com/WICG/feature-policy はこの問題の対策に使えるかもしれません

Chrome ExtensionのLive HTTP Headersを調査した。Firefox用のものではない。Firefox用のものではない。

11/7追記

Summary in english.

This is src doc of my presentation on shibuya.xss #8 (2016-11-14)

The main topic is vulnerabilities related to url parser.

CVE-2016-7401

https://www.djangoproject.com/weblog/2016/sep/26/security-releases/
https://hackerone.com/reports/26647
pythonのcookie parserが ; 以外もpairsの区切り文字として解釈するので、google analyticsのreferrer経由でsetされるcookieを使ってCSRF tokenを上書き可能だったという問題。
django側でcookie parser自前で実装、python本体は直ってないようだ https://github.com/django/django/commit/d1bc980db1c0fffd6d60677e62f70beadb9fe64a

多くのcookie parserは、pairsの区切りとして ; と , を許容しているのでdjango以外にも影響がある。ブラウザが使用するcookie pairの区切りは実際には ;

これ相当のことを、サーバーとクライアントでやればいい。

	var express = require("express");
	var app = express();
	var expressWs = require('express-ws')(app);

	app.use(express.static(__dirname + '/public'));
	app.listen(3000, function () {
	console.log('Example app listening on port 3000!');
	});
	app.ws('/state', function(ws, req) {
	ws.on('message', function(msg) {

	拡張機能、live http headers, http headersにポリシー違反の挙動があります。
	https://gist.github.com/mala/e87973df5029d96c9269d9431fcef5cb

	https://chrome.google.com/webstore/detail/live-http-headers/iaiioopjkcekapmldfgbebdclcnpgnlo
	https://chrome.google.com/webstore/detail/http-headers/mhbpoeinkhpajikalhfpjjafpfgjnmgk

	- 拡張機能の background js に対して、難読化されたscriptが埋め込まれています。
	- webサイトに対して(chrome.tabs.executeScript) 外部のjsコードを挿入します。この機能はユーザーに対しては説明されていません。
	- webサイトに対して実行されるscriptは、少なくとも広告やURLのtrackingが含まれています。サイトによって挙動が変わったり、後から変更される可能性があります。
	- setTimeoutによって非常に長い時間(24時間以上) 経過した後に有効化されています。

	// responseURLに対応していないライブラリを使っているときにクロスドメイン通信を無理やり止める
	// https://github.com/jquery/jquery/pull/1615

	// responseURL
	// https://bugzilla.mozilla.org/show_bug.cgi?id=998076
	// https://bugs.chromium.org/p/chromium/issues/detail?id=377583
	// https://bugs.webkit.org/show_bug.cgi?id=136938


	new function(){

	プライバシーとはデータ自体の公開、非公開の制御ではない。

	- データ自体の公開、非公開には大した意味がなく、リンクこそが情報の本質である
	- 自己に関する情報のコントロールが失われることが、プライバシーの侵害である

	1. データ自体が秘密の情報ではない

	情報の性質
	- 明確に本人以外には秘密にしなければならないもの → 例: パスワード
	- 住所 → 単体では単なる文字列、住民基本台帳調べれば出てくる、その土地に実際に行けば調べられる