10 内 容 提 要 本书由世界顶尖级黑客打造，细致讲解了 IE、Firefox、Chrome 等主流浏览器及其扩展和应用上的安 全问题和漏洞，介绍了大量的攻击和防御技术，具体内容主要包括 ：初始控制，持续控制，绕过同源策略， 攻击用户、浏览器、扩展、插件、Web 应用、网络，等等。这是你在实践中的必选参考指南，对实际开发 具有重要指导作用，能够助你在浏览器安全领域有所作为。 本书适合计算机安全技术人员以及浏览器开发人员。 [澳] Wade Alcorn [美] Christian Frichot [意] Michele Orrù ◆ 著 译 审 奇舞团 校 0KEE TEAM 责任编辑 朱 巍 执行编辑 贺子娟 责任印制 彭志环 吴威娜 ◆ 人民邮电出版社出版发行 邮编 100164 网址 http://www.ptpress.com.cn 北京 北京市丰台区成寿寺路11号 电子邮件 [email protected] 印刷 ◆ 开本：800×1000 1/16 印张：31 字数：733千字 印数：1 — 4 000册 著作权合同登记号 2016年 10 月第 1 版 2016年 10 月北京第 1 次印刷 图字：01-2014-5455号 定价：109.00元 读者服务热线：(010)51095186转600 印装质量热线：(010)81055316 反盗版热线：(010)81055315 广告经营许可证：京东工商广字第 8052 号 2 前 言 中文版推荐序 浏览器作为用户访问互联网的入口，其安全性至关重要。用户在浏览器中的任何一次不经意 的点击，都可以成为噩梦的开始。攻击者利用浏览器的一些漏洞，仅需要用户点击一个链接：轻 者可以窃取用户的cookie及身份信息，获得用户浏览记录等隐私；重者则导致用户电脑上的文件 被窃取、篡改，甚至用户电脑会被安装后门，最终沦为攻击者的“囊中之物” 。浏览器承载着万 物互连和分享协作，因而保障浏览器的安全越来越重要。 今天，各家浏览器的发展如火如荼，特别是新的安全特性也层出不穷。比如，数据执行保护 （DEP）、内存地址随机化（ASLR）、沙箱、隔离堆、延时释放、控制流防护（CFG）等，诸多安 全特性的出现与应用折射出浏览器已然成为攻击者的目标。“道高一尺，魔高一丈” ，新的安全特 性必然会导致新的攻击方法的出现，只是攻击的难度和成本会越来越大，对攻击者技术的要求也 越来越高。 未知攻，焉知防？本书是业界公认的最流行的浏览器利用工具BeEF的作者Wade等人结合自 己亲身实践经验鼎力创作的，系统地介绍了浏览器的攻防技术。全书以BeFF工具为基础，将浏 览器攻防分为初始化、持久化和攻击三大阶段，并在攻击阶段中从用户、浏览器核心、扩展、插 件、Web应用和网络等多个方面去细化。全书一共分七个大类讲浏览器攻击方法：初始化、持久 化、攻击用户和攻击浏览器、攻击扩展、攻击插件、攻击Web应用和攻击网络。每一章基本按攻 击方法划分，作者对安全攻防的归类组织结构做到了一页不差，相关的技术点叙述得很清晰、很 全面，并有基于BeEF等工具的实际演示，读者能很快理解和上手。很多技术点能从原理上阐述 清楚，这很难能可贵。同时，攻击手段上的很多“奇技淫巧”深受广大黑客的喜爱。对爱好浏览 器安全并打算详细了解和学习相关专业知识的人来说，这本书是最好不过的选择。本书是迄今为 止介绍浏览器攻防实战的最详细之作。 最后特别感谢团队leader张鲁和团队成员为本书审校付出的心血！ 奇虎360信息安全部 0KEE TEAM 李响 2016年8月 致 谢 1 1 致 谢 2 3 如果没有两位重要人物，我这一生不会做出什么有价值的事情。 非常感谢我美丽的妻子Carla， 感谢她矢志不移的支持和不计其数的提醒。虽然在本书封面上看不到她的名字，但实际上本书中 的每一个字都经过了她的润色。还要感谢我的英雄儿子Owen，如果不是他亲身实践在面对生活 挑战时应该时刻面带笑容，我面对的每一个障碍都会更加难以逾越。 另外，能够与Rob Horton和Sherief Hammad共事将近十年对我而言也是一件幸事。正是他们 源源不断的鼓励，造就了培养创造力和横向思维的支持性工作空间。当然，还要感谢Michele和 Christian陪我一起进行这次写作之旅。 4 5 ——Wade Alcorn 我在一家银行初次遇到她，当时恰逢系统崩溃。如果不是她无限耐心的支持，我想我是不可 能参与写作这本书的。裹心地感谢我最心爱的妻子Tenille（还有在你肚子里成长的女儿），这本 书就是为你而写（让你知道怎么对付小家伙）。我还要感谢我的其他家人。感谢老妈Julia和老爸 Maurice，感谢你们给了我机会在信息安全领域发展。感谢我的妹妹Hélène、Justine和Amy，你们 让我脑洞大开，你们的支持非常给力。感谢我的Asterisk Info Sec大家庭，感谢你们听我抱怨这事 儿有多难，而且给我时间来做完它，非常感谢David Taylor、Steve Schupp、Cole Bergersen、Greg Roberts和Jarrod Burns。还得感谢澳大利亚和新西兰的黑客安全团队，感谢我在网上和会议上认 识的所有朋友，非常高兴能够在这个社区里与你们为伍，共同进步。当然还有Wade和Michele， 我必须感谢你们邀请我参与这个具有重大意义的任务，感谢你们的不厌其烦，感谢你们的毫无保 留，感谢你们容忍我废话连篇！ ——Christian Frichot 首先，我想感谢我心爱的Ewa，感谢她在我夜以继日地做研究和写作本书时给予我精神上的 支持。向我的父母致敬，因为他们的支持，我才可能走上了研究和学习新事物的道路。非常感谢 我的好朋友Wade Alcorn和Mario Heiderich，感谢他们对我研究的启发，以及跟我进行火花四射的 讨论。如果没有他们，这本书就不会写得这么好。为所有相信Full Disclosure才是暴漏洞好方法的 人喝彩。最后，感谢与我并肩战斗的好友及安全研究同事（你们知道我说的是谁） ，感谢你们与 我分享漏洞利用技术以及会议后一起把酒言欢。 ——Michele Orrù 6 7 8 9 10 11 2 致 谢 本书是团队努力的结晶。首先，感谢两位特约作者Ryan Linn和Martin Murfitt。各大安全社区 也让我们受益颇多，特别是这些年来为BeEF作出贡献的人们。正是他们多年的积累，最终汇聚 成了这本书呈现在大家面前。 Wiley那些和蔼可亲的人以及本书的技术编辑也是我们必须重点感谢的。不能不提的是Mario Heiderich、Carol Long和Ed Connor，感谢他们的耐心、支持和专业技能。 感谢Krzysztof Kotowicz、Nick Freeman、Patroklos Argyroudis和Chariton Karamitas，感谢他们 专家级的贡献。虽然我们不可能把每一位要感谢的人都一一列在这里，但还是要特别点出其中几 位的姓名：Brendan Coles、Heather Pilkington、Giovanni Cattani、Tim Dillon、Bernardo Damele、 Bart Leppens、George Nicolau、Eldar Marcussen、Oliver Reeves、Jean-Louis Huynen、Frederik Braun、 David Taylor、Richard Brown、Roberto Suggi Liverani和Ty Miller。毫无疑问，还有其他重要的名 字没有出现在这里。请相信我们，这绝非故意的。 ——所有作者 前 言 1 1 前 言 2 3 内容介绍 看看你手中的这本书，它会让你了解我们每天都在用的Web浏览器可能遭受哪些攻击。当然， 用这本书作为武器，也可以发起新的攻击。本书介绍的攻击技术围绕最主流的浏览器展开，偶尔 也会提到几个非主流的。所谓主流浏览器，也就是Firefox、Chrome和Internet Explorer（以下简称 “IE”）。必要的时候还会涉及现代移动浏览器，虽然移动浏览器不是我们的主要讨论对象，但书 中涵盖的许多攻击技术有时候对它们同样适用。 攻击者和防御者都需要理解Web浏览器带给用户的危险。原因很简单：Web浏览器可能是21 世纪迄今为止最重要的一种软件。它是人类访问网络空间最重要的门户。君不见，这个曾经笨拙 的桌面软件，如今已经作为一个主要的应用程序进入了手机、游戏机，甚至不起眼的电视机里都 有它的身影。Web浏览器堪称今日表现、检索和搜寻数据的“瑞士军刀”。自从Tim Berners-Lee 爵士于1990年发明他的“可以做到的小Web浏览器”以来，这个软件的发展已经远远超过预期， 成为当今世界最受世人关注的软件之一。 关于Web浏览器的全球用户数量，有各种各样的统计和说法。其实只要拿个烂笔头信手算算， 就不难估计出这是一个多么庞大的数字。假如地球上有三分之一的人上网，那么浏览器用户基本 就是23亿。再想一下，又会发现其中有一部分人还不止使用一个浏览器。他们在家里、单位和手 机上都使用浏览器。就算没有史蒂芬·霍金的智商，也不难猜到这是多么惊人的数目。 既然Web浏览器的用户数量如此巨大，那么由此产生大量安全问题和漏洞利用机会也就不足 为奇了。本书从黑客角度着眼，讲解如何攻击以及如何保护各种情形下的现代浏览器。 目标读者 如果你有技术背景，对浏览器面临的现实风险感兴趣，那你适合看这本书。可能你想保护 你们的基础设施，也可能是想破坏客户的资产。或许你是一个系统管理员、开发者，甚至是一 位信息安全专家。大概你跟我们很多人一样，对安全有着难以遏制的激情，正饥渴地寻找这方 面的知识。 本书假设你每天都会用浏览器，出于某种原因想一探其背后的究竟。要看懂这本书，最好掌 4 5 6 7 8 9 10 11 2 前 言 握了基本的安全概念，或者额外花点时间补一补基础知识。比如客户端—服务器模型、HTTP协 议和一些基本的安全概念，这些你都不应该陌生。 虽然编程经验不是必需的，但懂一点基本原理才能看懂书中的代码。书中大量的例子和演 示全都源自一线实战，使用了多种语言，主要是JavaScript——毕竟浏览器里它是主宰。虽然听 起来似乎不大可能，但即使你以前没有使用过JavaScript，其实关系也不大。每一段代码都有详 细的解说。 本书内容 本书主要有10章，基本按攻击方法划分。必要时，每一章会按攻击点归类，但也不强求统一。 作者本着有助于读者开展专业安全攻防的