maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/pentesting-web/browser-extension-pentesting-methodology

Browse Source
This commit is contained in:
Translator 2025-04-13 15:16:14 +00:00
parent 7b0830c148
commit 82b8f1def3
1 changed files with 8 additions and 8 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

16
src/pentesting-web/browser-extension-pentesting-methodology/browext-clickjacking.md
View File

@ -4,7 +4,7 @@
## Osnovne informacije
Ova stranica će iskoristiti ClickJacking ranjivost u ekstenziji za pregledač.\
Ova stranica će iskoristiti ClickJacking ranjivost u ekstenziji pregledača.\
Ako ne znate šta je ClickJacking, proverite:
{{#ref}}
@ -15,28 +15,28 @@ Ekstenzije sadrže datoteku **`manifest.json`** i ta JSON datoteka ima polje `we
> Ovi resursi bi zatim bili dostupni na veb stranici putem URL-a **`chrome-extension://[PACKAGE ID]/[PATH]`**, koji se može generisati pomoću **`extension.getURL method`**. Resursi na beloj listi se isporučuju sa odgovarajućim CORS zaglavljima, tako da su dostupni putem mehanizama kao što je XHR.[1](https://blog.lizzie.io/clickjacking-privacy-badger.html#fn.1)
**`web_accessible_resources`** u ekstenziji za pregledač nisu dostupni samo putem veba; oni takođe funkcionišu sa inherentnim privilegijama ekstenzije. To znači da imaju sposobnost da:
**`web_accessible_resources`** u ekstenziji pregledača nisu dostupni samo putem veba; oni takođe funkcionišu sa inherentnim privilegijama ekstenzije. To znači da imaju sposobnost da:
- Promene stanje ekstenzije
- Učitaju dodatne resurse
- Interaguju sa pregledačem do određene mere
Međutim, ova funkcija predstavlja bezbednosni rizik. Ako resurs unutar **`web_accessible_resources`** ima bilo kakvu značajnu funkcionalnost, napadač bi potencijalno mogao da ugradi ovaj resurs u eksternu veb stranicu. Neoprezni korisnici koji posete ovu stranicu mogli bi nenamerno aktivirati ovaj ugrađeni resurs. Takva aktivacija mogla bi dovesti do nepredviđenih posledica, u zavisnosti od dozvola i mogućnosti resursa ekstenzije.
Međutim, ova funkcija predstavlja bezbednosni rizik. Ako resurs unutar **`web_accessible_resources`** ima bilo kakvu značajnu funkcionalnost, napadač bi potencijalno mogao da ugradi ovaj resurs u eksternu veb stranicu. Neoprezni korisnici koji posete ovu stranicu mogli bi nenamerno aktivirati ovaj ugrađeni resurs. Takva aktivacija mogla bi dovesti do nepredviđenih posledica, u zavisnosti od dozvola i sposobnosti resursa ekstenzije.
## Primer PrivacyBadger
U ekstenziji PrivacyBadger, identifikovana je ranjivost povezana sa `skin/` direktorijumom koji je deklarisan kao `web_accessible_resources` na sledeći način (Proverite originalni [blog post](https://blog.lizzie.io/clickjacking-privacy-badger.html)):
U ekstenziji PrivacyBadger, identifikovana je ranjivost povezana sa `skin/` direktorijumom koji je proglašen kao `web_accessible_resources` na sledeći način (Proverite originalni [blog post](https://blog.lizzie.io/clickjacking-privacy-badger.html)):
```json
"web_accessible_resources": [
"skin/*",
"icons/*"
]
```
Ova konfiguracija je dovela do potencijalnog bezbednosnog problema. Konkretno, `skin/popup.html` datoteka, koja se prikazuje prilikom interakcije sa ikonom PrivacyBadger u pretraživaču, mogla bi biti ugrađena unutar `iframe`. Ova ugradnja bi mogla biti iskorišćena da prevari korisnike da nenamerno kliknu na "Disable PrivacyBadger for this Website". Takva akcija bi kompromitovala privatnost korisnika onemogućavanjem zaštite PrivacyBadger i potencijalno izložila korisnika povećanom praćenju. Vizuelna demonstracija ovog eksploata može se videti u ClickJacking video primeru koji je dostupan na [**https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm**](https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm).
Ova konfiguracija je dovela do potencijalnog bezbednosnog problema. Konkretno, `skin/popup.html` datoteka, koja se prikazuje prilikom interakcije sa ikonom PrivacyBadger u pretraživaču, mogla bi biti ugrađena unutar `iframe`. Ova ugradnja bi mogla biti iskorišćena da prevari korisnike da nenamerno kliknu na "Disable PrivacyBadger for this Website". Takva akcija bi kompromitovala privatnost korisnika onemogućavanjem zaštite PrivacyBadger i potencijalno izložila korisnika povećanom praćenju. Vizuelna demonstracija ovog eksploata može se pogledati u ClickJacking video primeru koji je dostupan na [**https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm**](https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm).
Da bi se rešila ova ranjivost, implementirano je jednostavno rešenje: uklanjanje `/skin/*` iz liste `web_accessible_resources`. Ova promena je efikasno smanjila rizik osiguravajući da sadržaj `skin/` direktorijuma ne može biti pristupljen ili manipulisan putem web-pristupa.
Da bi se rešila ova ranjivost, implementirano je jednostavno rešenje: uklanjanje `/skin/*` iz liste `web_accessible_resources`. Ova promena je efikasno smanjila rizik osiguravajući da sadržaj `skin/` direktorijuma ne može biti pristupljen ili manipulisan putem web-pristupačnih resursa.
Rešenje je bilo jednostavno: **ukloniti `/skin/*` iz `web_accessible_resources`**.
Popravka je bila jednostavna: **ukloniti `/skin/*` iz `web_accessible_resources`**.
### PoC
```html
@ -79,7 +79,7 @@ A [**blog post about a ClickJacking in metamask can be found here**](https://slo
<figure><img src="../../images/image (21).png" alt=""><figcaption></figcaption></figure>
**Još jedan ClickJacking ispravljen** u Metamask ekstenziji bio je taj što su korisnici mogli da **Click to whitelist** kada je stranica bila sumnjiva zbog `“web_accessible_resources”: [“inpage.js”, “phishing.html”]`. Kako je ta stranica bila ranjiva na Clickjacking, napadač je mogao da je iskoristi prikazujući nešto normalno kako bi naterao žrtvu da je stavi na belu listu bez da primeti, a zatim se vrati na phishing stranicu koja će biti stavljena na belu listu.
**Još jedan ClickJacking ispravljen** u Metamask ekstenziji bio je taj što su korisnici mogli da **Click to whitelist** kada je stranica bila sumnjiva da je phishing zbog `“web_accessible_resources”: [“inpage.js”, “phishing.html”]`. Kako je ta stranica bila ranjiva na Clickjacking, napadač je mogao da je iskoristi prikazujući nešto normalno kako bi naterao žrtvu da je doda na belu listu bez da primeti, a zatim se vraćajući na phishing stranicu koja će biti dodata na belu listu.
## Steam Inventory Helper Primer