安基网 首页 资讯 安全报 查看内容

小米薄荷浏览器URl欺骗漏洞(CVE-2019-10875)的安全修复被绕过

2019-4-10 01:08| 投稿: xiaotiger |来自: 互联网


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: 前几日,网络上曝出小米薄荷浏览器存在URL欺骗漏洞,攻击者可把恶意链接伪装成权威网站的URL,对受害者进行钓鱼攻击。小米公司在收到报告后迅速发布了安全补丁,修复了这一漏洞。但近期,又有人曝出该安全补丁不够严谨,轻易就可绕过。URl欺骗漏洞(CVE-2019-10875)据外媒报道,小米薄荷浏览器为了提 ...

前几日,网络上曝出小米薄荷浏览器存在URL欺骗漏洞,攻击者可把恶意链接伪装成权威网站的URL,对受害者进行钓鱼攻击。小米公司在收到报告后迅速发布了安全补丁,修复了这一漏洞。但近期,又有人曝出该安全补丁不够严谨,轻易就可绕过。

URl欺骗漏洞(CVE-2019-10875)

据外媒报道,小米薄荷浏览器为了提升用户体验,在当你打开某个网络链接时,若链接类似于https://www.google.com/?q=www.domain.com时,则网址栏就只会显示www.domain.com,也就是只显示?q=后面的字段。因此,一旦攻击者构造https://www.evil.com/?q=www.google.com这类的链接进行钓鱼攻击,受害者则只会在网址栏看到www.google.com,相信任何人都不会怀疑谷歌是钓鱼网站。

当攻击者输入https://www.andmp.com/?q=www.google.com时

跳转成功后,可看到地址栏显示www.google.com,但页面其实是www.andmp.com的内容

这种URl欺骗漏洞攻击者利用起来毫无难度,仅仅只需要编造一个简单的恶意链接。最后小米给发现者奖励了198美元赏金(Mi浏览器和Mint国际版浏览器)。

修复绕过

而在近期,国外安全研究人员表示,经过简单的的模糊测试,发现小米Mint浏览器的安全补丁存在严重的问题,只需要简单添加几个字母,就可绕过。

修复前可生效的PoC:

http://phishing-site.com/?q=google.com

修复后可生效的PoC:

http://google.com.phishing-site.com/?q=google.com 

只要在钓鱼网址的前面贴上google.com,就又可以达到欺骗的效果。发现者表示,小米内部的研发人员应该只是通过简单的正则表达式对网址进行安全检查,但由于正则表达式不够严谨,攻击者可轻松绕过。

修复后以前的PoC已无欺骗作用:

但新的PoC的地址栏依然是google.com:



感谢你的阅读!

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场

来源:https://nosec.org/home/detail/2463.html

原文:https://www.andmp.com/2019/04/bypassing-cve-2019-10875-or-xiaomis.html?m=1

白帽汇从事信息安全,专注于安全大数据、企业威胁情报。

公司产品:FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供:网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.toutiao.com/a6677836481421115916/

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!


鲜花

握手

雷人
1

路过

鸡蛋

刚表态过的朋友 (1 人)

相关阅读

最新评论

 最新
返回顶部