Rayinaw


Nơi mình ghi chú lại những thứ đã học.

Browser's Session History And XSLeak

  • ~5.25K từ

Browser’s Session History And XSLeak

Browser’s session history

A browser’s session history keeps track of the navigations in each tab, to support back/forward navigations and session restore. This is in contrast to “history” (e.g., chrome://history ), which tracks the main frame URLs the user has visited in any tab for the lifetime of a profile.

History API usage

https://developer.mozilla.org/en-US/docs/Web/API/History_API#concepts_and_usage

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
//
history.back();
history.go(-1);

//
history.forward();
history.go(1);


// ************* //

history.go(2)
history.go(-2)

// Refreshing the page
history.go(0);
history.go(); 

// determine the number of pages in the history stack

console.log(history.length);

popstate event

Popstate là một event của window được kích hoạt mỗi khi người dùng điều hướng session history (back, forward, go).

1
2
3
4
5
6
7
8
9
10
11
window.addEventListener("popstate", (event) => {
  console.log(
    `location: ${document.location}, state: ${JSON.stringify(event.state)}`,
  );
});
history.pushState({ page: 1 }, "title 1", "?page=1");
history.pushState({ page: 2 }, "title 2", "?page=2");
history.replaceState({ page: 3 }, "title 3", "?page=3");
history.back(); // Logs "location: http://example.com/example.html?page=1, state: {"page":1}"
history.back(); // Logs "location: http://example.com/example.html, state: null"
history.go(2); // Logs "location: http://example.com/example.html?page=3, state: {"page":3}"

history.pushState

pushState sẽ thêm một entry mới trong session history

1
2
3
4
5
6
7
history.pushState('page 1', "title 1", "?page=1");
history.pushState('page 2', "title 1", "?page=2");
history.state
// page 2
history.state
history.back()
// page 1

Cần lưu ý là không thể thêm entry khác origin với origin hiện tại:

1
history.pushState('page 2', "title 1", "https://example.com");

VM2110:1 Uncaught DOMException: Failed to execute ‘pushState’ on ‘History’: A history state object with URL ‘https://example.com/' cannot be created in a document with origin ‘http://127.0.0.1:5500' and URL ‘http://127.0.0.1:5500/index.html?page=1'. at :1:9

history.replaceState

Thay thế state hiện tại bằng một giá trị được replace:

1
2
3
4
5
6
7
8
9
10
11
history.pushState('page 1', "title 1", "?page=1");
history.pushState('devil page', "title 1", "?page=devil");
history.state
// page devil
history.state
history.back()
// page 1

history.forward()
history.state
// devil

XSLeak với Session History

Leak thông qua navigation với thuộc tính history.length

Đầu tiên giả sử cửa sổ đang ở một trang là https://abc.com, và bây giờ ta sẽ mở một window với một trang khác origin:

1
w = window.open('https://example.com')

Ở cửa sổ mới, vào console rồi pushState như sau:

1
history.pushState('','','?q=abc')

Quay lại cửa sổ cũ, ta không thể truy xuất history.length:

1
w.history.length

VM5175:1 Uncaught DOMException: Failed to read a named property ‘history’ from ‘Window’: Blocked a frame with origin “http://127.0.0.1:5500" from accessing a cross-origin frame. at <anonymous>:1:3

Tuy nhiên, nếu ta set location của cửa sổ mới thành một giá trị thõa mãn same origin với cửa sổ hiện tại thì ta có thể truy xuất được giá trị đó, ta có 2 cách:

  • Set origin thành about:blank
  • Set origin thành giá trị của cửa sổ https://abc.com

Thực hiện lại quá trình trên:

1
w = window.open('https://example.com')

Ở bên kia push state:

1
history.pushState('','','?q=abc')

Quay trở lại trang abc.com:

1
2
3
4
w.location='about:blank'
// Or w.location='https://abc.com'
w.history.length
//3

Ta đã hiểu được concept cơ bản, bây giờ mình sẽ nói tiếp trong ngữ cảnh cụ thể.

Giả sử nếu chức năng tìm kiếm của một trang web có chức năng như sau:

  • Nếu tìm kiếm một secret thành công nó sẽ redirect ta đến một trang nào đó

Ví dụ như ta xác định được nếu tìm kiếm thành công thì history.length đã redirect sẽ là 4, còn tìm kiếm sai thì là 3.

  • Bây giờ ta chỉ cần search từng kí tự, nếu redirect là 4 thì kí tự đó đúng, còn không thì là sai, cứ thế cho đến khi ta lấy được secret.

Cụ thể hơn về ngữ cảnh bạn có thể xem thêm ở đây:

Protection

Thêm header Cross-Origin-Opener-Policy:

1
2
3
<?php 
header( 'cross-origin-opener-policy: same-origin-allow-popups' ); 
?>

Additional trick: set giá trị của header HTTP referer

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referrer-Policy#unsafe-url_2

Ta có thể set giá trị của referer với toàn bộ url kể cả path, query, hash,… với meta tag:

1
2
3
4
<meta name="referrer" content="unsafe-url" />
<script>
    history.pushState('','','?q=abc')
</script>

Khi này giá trị của referrer nếu được bắt từ trang này sẽ là:

1
https://example.com?q=abc
,