Web2.0十大Ajax安全性漏洞以及成因

JavaScript包含的Ajax是Web2.0應用的一個重要組成部分。該部分的進化發展使網路變成了超級平台。該轉變同時也催生了新品種的病毒和蠕蟲，比如Yamanner,Samy 以及Spaceflash等等。Google,Netflix,Yahoo 以及MySpace等門戶網站在過去的幾個月裡都因為新的漏洞而蒙受一定損失。駭客們可以利用這些漏洞進行釣魚，跨網站指令碼(XSS)以及跨網站偽造(XSRF)請求等攻擊。

Ajax中沒有固有的安全性漏洞，但是對該技術向量的適配顯著地改變了網路應用的開發途徑以及方法論。以前，DCOM和CORBA組成核心中介軟體層的時候，將資料和對象序列化非常困難。Ajax使用簡單的GET,POST或者SOAP調用，來轉換XML,HTML,JS Array,JSON,JS Objects以及其他定製的對象；全部這些操作都不需要調用中介軟體層。Ajax的這種綜合能力使應用伺服器與瀏覽器之間的資料交換非常流暢。從伺服器端傳來的資訊動態地被注入到當前的DOM相關環境，然後瀏覽器的DOM狀態重設。在講安全性漏洞之前，我們先來看看促成Web2.0漏洞的關鍵因素。

多重分散的終端點以及隱藏調用——Web2.0應用與Web1.0的主要區別就是資訊訪問機制的區別。比起它的前身Web1.0, Web2.0應用有數個Ajax終點。潛在的Ajax調用分散於整個瀏覽器頁面，並且能夠被各個事件分別調用。開發人員恨難應付Ajax調用的這種分散性，並且由於這些調用是隱藏的，不那麼明顯，它還可能導致代碼不規範。

認證混亂——輸入和輸出內容認證是應用的重要因素之一。Web2.0應用使用橋，mashups,還有反饋等等。很多情況下，它假定“另一方”（讀取伺服器端或者用戶端代碼）已經實現了認證，這種混亂就導致了雙方都沒有實現適當的認證控制。

不受信任的資訊來源——Web2.0應用從很多不受信任的來源比如反饋，部落格，搜尋結果中獲得資訊。這些內容在提供給終端瀏覽器之前從來沒有被認證，這就有可能引發跨網站攻擊。駭客還有可能在瀏覽器中載入JavaScript，以便迫使瀏覽器發出跨域的調用並開啟安全性漏洞。那樣的話，這些致命的漏洞就能被病毒和蠕蟲利用。

資料序列化——瀏覽器可以調用Ajax來實施資料序列化。它可以擷取JS array,Objects,Feeds,XML檔案，HTML 塊以及JSON。如果這些序列塊中的某一個被解析並修改了，駭客們就可以強迫瀏覽器執行惡意指令碼。不受信任資訊與資料序列化的結合，對終端使用者的安全是致命的。

動態指令碼構成和執行——Ajax會建立一個後端通道，從伺服器擷取資料，然後將它傳送給DOM。實現這一點的必要條件就是動態地執行JavaScripts，以便隨時更新DOM或者瀏覽器頁面緩衝的狀態。Ajax通過調用定製的功能或者eval()功能。未經認證的內容或者使用不安全的調用，輕則導致會話內容泄露，重則迫使瀏覽器執行惡意內容等各種後果。

Web2.0應用可能因為上面提到的1個或多個失誤而變得易受攻擊。如果開發人員不夠審慎，沒有花心思在安全管理上的話，那麼伺服器和瀏覽器端都會出現安全問題。以下是10個可能的安全性漏洞的簡要說明。

（1）畸形的JS對象序列

JavaScript支援物件導向編程(OOP)技術。它有很多不同的內建對象，也允許使用者自己建立對象。使用者可以用new object() 或者自己編輯如下代碼來建立新的對象。

message = {
from : "john@example.com",
to : "jerry@victim.com",
subject : "I am fine",
body : "Long message here",
showsubject : function(){document.write(this.subject)}
};

這是一個簡單的訊息對象，其中有2個欄位需要電子郵件地址。我們可以使用Ajax來將該對象序列化並用JavaScript代碼編譯。程式員可以將它賦值到變數或者eval()。如果攻擊者發送嵌入了指令碼的惡意“主題”，那麼讀者就將成為跨網站指令碼攻擊的受害者。JS對象既包含資料也包含方法。對JS對象序列的不當使用將產生可以被詭計多端的注入代碼利用的安全性漏洞。

(2)JSON對注入

JavaScript對象符號(JSON)是一個簡單而有效少量資料交換格式，它包含對象，數組，Hash表，向量以及列表資料結構。JavaScript, Python, C, C++, C# 和Perl languages都支援JSON。JSON序列在Web2.0應用中是個非常有效交換器制。開發人員頻繁使用Ajax和JSON，擷取並傳送必要的資訊給DOM。下面是個簡單的帶有不同的name值對的JSON對象：“bookmarks”對象。

{"bookmarks":[{"Link":"www.example.com","Desc":"Interesting link"}]}

駭客們可以在Link或者Desc中注入惡意指令碼。如果DOM和可執行程式被注入了，XSS目錄也會被注入。這是使終端使用者感染惡意內容的另一種方法。

(3)JS數組中毒

JS數組是另一個比較普遍的序列化對象。人們可以很容易地跨平台移植它，並且它在使用不同語言的結構中也很有效。感染一個JS數組可以擾亂整個DOM環境。駭客們可以在瀏覽器中使用簡單的跨網站指令碼攻擊JS數組。下面是一個JS數組的例子：

new Array(“Laptop”, “Thinkpad”, “T60”, “Used”, “900$”, “It
is great and I have used it for 2 years”)

該數組是從一個拍賣二手筆記本的網站傳出來的。如果這個數組對象在伺服器端沒有被仔細處理，駭客就可以在最後欄位中注入指令碼。這種注入將危及瀏覽器安全並被攻擊者利用。

(4)被修改的XML資料流

Ajax調用接受來自多個地址的XML。這些XML塊來自運行在SOAP,REST或者XML-RPC的網路服務。這些網路服務是由從第三方的代理橋那裡接收過來的。如果這些第三方XML資料流被攻擊者修改過，那麼攻擊者就可能向其中注入惡意內容。

瀏覽器從它內建的XML解析器接收該資料流。該解析器容易受不同的XML炸彈的攻擊。人們也可以在該資料流中注入指令碼，這樣就可以導致跨網站指令碼攻擊(XSS)。瀏覽器接收未經認證的XML資料流的話，這就會危及終端用戶端的安全。

(5)DOM中指令碼注入

前四個漏洞都是由於序列化問題引起的。一旦瀏覽器收到序列化的對象資料流，開發人員會發出某種調用來訪問DOM。這種調用的目的是將新內容“重寫”或者“重填”入DOM中，可以調用eval()這個定製功能，也可以使用document.write()。如果這些調用是在不受信任資訊流上進行的，瀏覽器就有可能由於DOM的操作漏洞而受攻擊。攻擊者可以用很多document.*()調用來向DOM環境中注入XSS。

例如，這段JavaScript代碼：Document.write(product-review)。

在這裡，“Product-review”是從第三方blog上獲得的變數。如果它含有JavaScript會怎樣？答案很明顯。這個JavaScript就會被瀏覽器運行。

（6）跨域訪問和回調

Ajax不能從瀏覽器跨域訪問。所有比較流行的瀏覽器都有個安全特性，那就是攔截跨域訪問。一些網站服務為對象序列提供回調功能。開發人員可以使用這個功能來把網站服務整合到瀏覽器本身。人們可以把該功能名傳回，這樣瀏覽器一找到回調對象資料流，它就會被瀏覽器中早已有的特殊功能名執行。

這個回調對使用瀏覽器內認證的開發人員來說是個額外負擔。如果輸入的對象資料流未經瀏覽器認證那麼終端用戶端就會成為跨域攻擊的目標。不管是有意還是無意的，跨網域服務可以向瀏覽器中注入惡意內容。該跨域調用在當前DOM環境中運行，於是導致目前的交談也易受攻擊。在實現應用之前，人們需要仔細檢查整個跨域功能。

（7）RSS和Atom注入

聯合的反饋，RSS以及Atom,是最普遍的一種將網站更新資訊傳到網路上的方法。許多新聞，部落格，門戶網站等等，都在網路上共用多個反饋。反饋是標準的XML文檔，並且可以被任何程式接收。Web2.0應用使用視窗小組件或者瀏覽器內部元件整合了聯合反饋。這些組件調用Ajax來訪問反饋。

這些反饋可以被終端使用者方便地選擇。一旦使用者選擇了它們，這些反饋就會被解析並注入到DOM中。那麼如果這個反饋在注入之前沒有被適當地認證過，就會出現一些安全問題。人們可以往瀏覽器中注入惡意連結或者JavaScript代碼。注入之後，就大事不妙了，最終結果是XSS和對話被駭客攔截。

（8）單擊炸彈

Web2.0應用可能不會很簡單地就被駭客攻下，但他們可以對它進行基於事件的注入。人們可以將帶有"onclick"字樣的惡意連結用JavaScript注入。這樣，瀏覽器就帶著個隨時等待終端使用者右鍵點擊來觸發的炸彈。一旦使用者點擊了連結或按鈕，能夠啟動炸彈的那個事件被啟動了，那麼攻擊就成功了。此類攻擊會導致對話被惡意代碼攔截。

這也是由於人們從那些沒有經過正確驗證的不受信任源處獲得的資訊，所導致的安全性漏洞。為了利用該安全性漏洞，它需要終端用戶端觸發一個事件。這個事件也許是諸如點擊按鈕或者連結的這種無害事件，但是點擊後就使會使用者損失慘重。它可能引起某個惡意事件，將目前的交談資訊發送給目標，又或者在當前瀏覽器環境中執行一系列指令碼攻擊。

(9) 基於Flash的跨域訪問

駭客們可以使用Flash外掛程式的Ajax介面，從而用瀏覽器中的JavaScritps發出GET和POST請求。這個介面使駭客們能進行跨域調用。為了避免安全問題，該Flash外掛程式實現了根據策略訪問其他域的功能。該策略可以通過在域的根部放置crossdomain.xml檔案來配置。如果放置的檔案配置不當——很普遍的現象——它就可能允許跨域訪問。下面是一個配置不當的XML文檔：

現在可以從瀏覽器自身發出跨域調用了。這個結構還有一些其他安全問題。基於Flash的豐富網路應用(RIA)如果配置錯誤的話，很容易由於Ajax的跨域訪問Bug而被攻擊。

(10) XSRF

跨域偽造請求(XSRF)是個老牌的攻擊向量了，它迫使瀏覽器向不同的域發出HTTP GET或者POST請求；這些請求可以跨域在啟動並執行應用邏輯中啟動某種事件。它可能請求修改密碼或者電子郵件地址等。瀏覽器調用它後，它重放cookie並獲得身份認證。這就是該請求的關鍵區段。如果某個應用只根據cookie來判識身份，那麼該攻擊就會成功。

Web2.0中Ajax是就XML-RPC,SOAP或者REST與後端網路服務進行對話的，通過GET和POST可以進行這些調用。換句話說，人們可以對這些網路服務進行跨網站調用，從而危及受害者與網路服務介面的身份資訊。XSRF這個攻擊向量很有趣，它在這個新界定的端點情況中創造了新的層次。這些終點可能是為Ajax或者網路服務而準備的，但它們也有可能被跨域請求所啟用。

對安全性漏洞的攻擊以及相應對策

Web2.0應用有多個終端點；每個點都是威脅的侵入點。為了保證安全，我們應當保護好所有這些點。在將第三方資訊發送給用戶端之前要對其進行徹底處理。

為了處理Ajax序列，必須在它們到達DOM之前對輸入資料流進行驗證。XML解析以及跨域安全問題也需要額外重視，並實施更好的安全管理措施。我們應當遵循那個最簡單最笨拙的原則：不讓未經認證的跨域資訊進入瀏覽器。有趣的是，到目前為止，安全專家們都不主張使用用戶端指令碼來進行輸入驗證，因為這很容易被規避掉。

Web2.0促成了很多瀏覽器安全相關的新的漏洞。利用這些安全性漏洞很難但不是不可能。安全問題以及促成因素結合起來將嚴重影響那些大的網路團體，比如能被攻擊者蠕蟲和病毒利用的那些組織。最終將導致身份資訊的泄漏。

結論

本文簡單地講了一些可能出現的關於Ajax漏洞。還有很多其他潛在的漏洞，比如利用跨域代理來在瀏覽器中建立單項通道或者儲存變數。

Web2.0中很多邏輯都轉到了用戶端。這會將整個應用暴露給一些嚴重的威脅。對整合來自多方的、不受信源的資料的迫切要求也將全面增加風險向量：XSS,XSRF,跨域問題以及用戶端上的序列，還有不安全的網站服務，伺服器端的XML-RPC和REST訪問。相反地，Ajax可被用來構造優美的無縫資料整合。但是，任一不安全的調用或者資訊流都會使其產事與願違的效果，從而促成可被利用的安全性漏洞。

這些新技術向量很有前景，令很多人興奮不已，但是攻擊者，病毒和蠕蟲作者對它更感興趣。為了保障安全，開發人員應當在這些細節方面格外小心。