maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/pentesting-web/browser-extension-pentesting-methodology

Browse Source
This commit is contained in:
Translator 2025-04-13 15:16:07 +00:00
parent 4ec857269e
commit fb663f8ddf
1 changed files with 4 additions and 4 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

8
src/pentesting-web/browser-extension-pentesting-methodology/browext-clickjacking.md
View File

@ -11,7 +11,7 @@ Si no sabes qué es ClickJacking, consulta:
../clickjacking.md
{{#endref}}
Las extensiones contienen el archivo **`manifest.json`** y ese archivo JSON tiene un campo `web_accessible_resources`. Esto es lo que dicen [los documentos de Chrome](https://developer.chrome.com/extensions/manifest/web_accessible_resources):
Las extensiones contienen el archivo **`manifest.json`** y ese archivo JSON tiene un campo `web_accessible_resources`. Esto es lo que dicen [los docs de Chrome](https://developer.chrome.com/extensions/manifest/web_accessible_resources):
> Estos recursos estarían disponibles en una página web a través de la URL **`chrome-extension://[PACKAGE ID]/[PATH]`**, que se puede generar con el **`extension.getURL method`**. Los recursos permitidos se sirven con los encabezados CORS apropiados, por lo que están disponibles a través de mecanismos como XHR.[1](https://blog.lizzie.io/clickjacking-privacy-badger.html#fn.1)
@ -25,7 +25,7 @@ Sin embargo, esta característica presenta un riesgo de seguridad. Si un recurso
## Ejemplo de PrivacyBadger
En la extensión PrivacyBadger, se identificó una vulnerabilidad relacionada con el directorio `skin/` declarado como `web_accessible_resources` de la siguiente manera (Consulta la [entrada del blog original](https://blog.lizzie.io/clickjacking-privacy-badger.html)):
En la extensión PrivacyBadger, se identificó una vulnerabilidad relacionada con el directorio `skin/` declarado como `web_accessible_resources` de la siguiente manera (Consulta el [post original](https://blog.lizzie.io/clickjacking-privacy-badger.html)):
```json
"web_accessible_resources": [
"skin/*",
@ -75,11 +75,11 @@ src="chrome-extension://ablpimhddhnaldgkfbpafchflffallca/skin/popup.html">
```
## Ejemplo de Metamask
Un [**artículo de blog sobre un ClickJacking en metamask se puede encontrar aquí**](https://slowmist.medium.com/metamask-clickjacking-vulnerability-analysis-f3e7c22ff4d9). En este caso, Metamask solucionó la vulnerabilidad verificando que el protocolo utilizado para acceder a él era **`https:`** o **`http:`** (no **`chrome:`** por ejemplo):
Una [**entrada de blog sobre un ClickJacking en metamask se puede encontrar aquí**](https://slowmist.medium.com/metamask-clickjacking-vulnerability-analysis-f3e7c22ff4d9). En este caso, Metamask solucionó la vulnerabilidad verificando que el protocolo utilizado para acceder a él era **`https:`** o **`http:`** (no **`chrome:`** por ejemplo):
<figure><img src="../../images/image (21).png" alt=""><figcaption></figcaption></figure>
**Otro ClickJacking solucionado** en la extensión de Metamask fue que los usuarios podían **Click para agregar a la lista blanca** cuando una página era sospechosa de ser phishing debido a `“web_accessible_resources”: [“inpage.js”, “phishing.html”]`. Como esa página era vulnerable a Clickjacking, un atacante podría abusar de ella mostrando algo normal para hacer que la víctima hiciera clic para agregarla a la lista blanca sin darse cuenta, y luego volver a la página de phishing que será agregada a la lista blanca.
**Otro ClickJacking solucionado** en la extensión de Metamask fue que los usuarios podían **Click para agregar a la lista blanca** cuando una página era sospechosa de ser phishing debido a `“web_accessible_resources”: [“inpage.js”, “phishing.html”]`. Como esa página era vulnerable a Clickjacking, un atacante podría abusar de ella mostrando algo normal para hacer que la víctima haga clic para agregarla a la lista blanca sin darse cuenta, y luego volver a la página de phishing que será agregada a la lista blanca.
## Ejemplo de Steam Inventory Helper