Обнаружены уязвимости в Google Toolbar (7 августа 2002)

перевод: Евгений Трофименко
10 августа 2002

Данный текст представляет собой перевод отчета отдела безопасности израильской компании GreyMagiс Software.
Исходное сообщение от Компьюленты от 9 августа 2002.
Оригинал документа GreyMagic Security Advisory GM#001-MC.

Что такое Google Toolbar?

Google Toolbar - компонент, который устанавливается для MS Internet Explorer и позволяет проводить поиск в Интернет с использованием поисковой системы Google и использовать другие сервисы.

Список уязвимостей Google Toolbar-

Дата обнаружения: 31 июля 2002.
Подвержены уязвимости: Google toolbar ver. 1.1.58 и более ранние версии.

Мы обнаружили многочисленные уязвимости системы безопасности в Google Toolbar. Они представлены ниже, отсортированы по возрастанию степени опасности. Независимо от действий пользователя, программа на веб-сайте может:

1. Перехватывать нажатия на клавиши при печати в поисковое окошко тулбара
2. Контролировать и изменять внешний вид тулбара
3. Использовать персональные функции тулбара
4. Очищать историю поисковых запросов в тулбаре
5. * Полностью деинсталлировать тулбар
6. * Перехватывать поисковые запросы пользователей, перенастроив тулбар
7. * Выполнять программы на компьютере пользователя
8. * Читать локальные файлы
9. * Внедрять скрипты в зону "My Computer".

#1. Перехватывать нажатия на клавиши при печати в поисковое окошко тулбара

При печати в окно быстрого поиска тулбара текущий документ получает доступ ко всем событиям клавиатуры. Эту уязвимость очень легко использовать, установив обработчик событий "onkeydown" и ожидая ввода с клавиатуры.

Данный метод не слишком применим для атаки, поскольку нет возможности выяснить, где в данный момент находится курсор: в или вне тулбара. Однако информация, полученная с клавиатуры, вполне может оказаться достаточной для подобного вывода.

К тому же, атакующий может печатать текст в окошко тулбара только если посетитель находится на его сайте, и не иначе.

#2. Контролировать и изменять внешний вид тулбара

Метод, используемый при изменении настроек тулбара очень уязвим.

Тулбар использует URL специального вида при установке настроек, перехватывая его загрузку и внося изменения - "http://toolbar.google.com/command?<changes here>".

Однако, он не производит изменений, если исходный документ (с установкой настроек) находится вне домена google.com или специального res:// протокола.

Это небольшое ограничение можно легко обойти, открывая дополнительное окно с документом из домена google.com (или res:// вида) и затем, используя скрипты, изменять URL на конфигурационный.

Данная проблема - основная и наиболее часто используется.

Например, чтобы убрать кнопку "Search", все что требуется - изменить URL на "http://toolbar.google.com/command?Search=0"

То же самое можно проделать с большей частью опций и настроек.

Прим. promosite.ru: Эта проблема обсуждалась в т.ч. на сайте searchengines.ru

#3. Использовать персональные функции тулбара

Возможности тулбара "PageRank" и "Category" включаются и настраиваются персонально пользователем.

Следуя инструкции в предыдущем пункте и затем изменяя URL на "http://toolbar.google.com/command?PageRank=1" и "http://toolbar.google.com/command?Category=1" атакующий может включать/выключать эти функции независимо от исходных настроек.

#4. Очищать историю поисковых запросов в тулбаре

Тулбар имеет возможность сохранять истроию поисковых запросов. Внешняя программа может включать/выключать эту функцию, следуя п.2 и затем изменяя URL на "http://toolbar.google.com/command?StoreHist=1" и "http://toolbar.google.com/command?ShowHist=1".

Злоумышленник может удалить всю историю поисковых запросов следуя п.2 и затем изменяя URL на "http://toolbar.google.com/command?clearhist".

#5. Полностью деинсталлировать тулбар

Злоумышленник может удалить деисталлировать Google toolbar следуя п.2 и затем изменяя URL на
"http://toolbar.google.com/command?uninstall".

#6. Перехватывать поисковые запросы пользователей, перенастроив тулбар

Тулбар использует при поиске специальную опцию "GoogleHome". Злоумышленник может изменить значение "GoogleHome" следуя п.2 и затем изменяя URL на "http://toolbar.google.com/command?GoogleHome=<attacker's search handler>".

С этого момента все поисковые запросы пользователей будут направляться на веб-сайт злоумышленника, который сможет собрать информацию о пользователе и использовать ее для идентификации пользователей. В соответствии с тематикой запросов злоумышленник :) сможет предложить товары или услуги.

После сохранения личной информации он сможет просто перенаправить запрос в Google для устранения подозрений которые могут возникнуть у пользователя.

#7. Выполнять программы на компьютере пользователя

Механизм команд тулбара предоставляет опасную для пользователя возможность путем вызова URL вида
"http://toolbar.google.com/command?script=<any script>" исполнять в контексте документа скрипт, переданный в строку пареметров.

Как упоминалось в п.2, механизм настройки тулбара принимает два типа URLов, любые URL в домене google.com и любые URL вида res:// .

When ran on the google.com domain, the result is a simple domain XSS in google.com. Но когда запуск скрипта происходит через URL вида res://, программа получает полный доступ к зоне "My Computer".

Как только злоумышленник получил доступ к зоне "My Computer", он может легко выполнять программы. Для этого необходимо, следуя п.2, изменить URL на
"http://toolbar.google.com/command?script=document.body.insertAdjacentHTML('beforeEnd',
'<object classid=clsid:10101010-1111-1111-1111-111111111111
codebase=c:/winnt/system32/calc.exe style=display:none></object>')".

#8. Читать локальные файлы

Используя ту же логику, что и в п.7, злоумышленник может читать локальные файлы с компьютера клиента.

Следуя п.2, и изменяя URL на
"http://toolbar.google.com/command?
script=document.body.insertAdjacentHTML('beforeEnd','<iframe
id=oFileRead src=file://c:/test.txt></iframe>'); setTimeout(function ()
{ alert(oFileRead.document.documentElement.innerText) },1000)"
злоумышленник может читать любые локальные файлы, которые доступны IE.

#9. Внедрять скрипты в зону "My Computer"

Пункты #7 и #8 - просто два примера возможностей работы с зоной "My Computer".

В ней есть мало ограничений и злоумышленник может найти возможность внедрить в нее скрипт.

Пример:

Следующий код открывает URL вида res:// и исполняет команду тулбара (#2-#9):

Решение:

Мы уведомили Google об этих проблемах 31 июля 2002 и работали с ними до исправления багов. Google выпустил новую, исправленную версию тулбара (1.1.59/1.1.60).

Новая версия начинает распространяться со среды 07 августа 2002, использует auto-update feature in the Google toolbar.

Демонстрация уязвимостей

• Google: клавиатура: перехват событий клавиатуры при печати в поисковое окошко Google
• Google: настройки: удаленное изменение настроек тулбара
• Google: локальный компьютер: исполнение программ и просмотр локальных файлов и использованием тулбара

Copyright © 2002 GreyMagic Software.