Grammarly For Chrome扩展任意用户劫持漏洞分析及利用

 

综述

2018年02月02日,Grammarly官方更新了Grammarly for Chrome14.826.1446版本,其中修复了一个严重漏洞,在此之前的版本中此扩展能够向所有网站曝光用户的令牌信息,导致任意网站都可以访问并修改用户在Grammarly上的文档,词典,访问历史,日志信息,用户信息等敏感数据。Grammarly官方当日立即修复此漏洞,与2月5日关闭此Bug。
影响版本:≤ 14.826.1446。
攻击难度:低。
危害程度:高。
官方修复情况如下:目前官方已经发布最新版本14.826.1446

 

什么是Grammarly?

Grammarly是一款拥有1000w+用户的国外厂商开发的语法检查应用,提供了浏览器扩展、网页版、 Mac版和 Windows 版。如果你使用 Windows,Grammarly 还提供了 Word 插件,下载后可以在Word 内部调用插件直接检查语法错误,我也是Grammarly的忠实用户之一。

Grammarly可以实现实时语法检查,你边写它就边改,语法问题和修改意见会以标注的形式显示在文档的右侧,方便你去一一查看,而且在每条批注下面都会配有详细的解释,告诉你哪里错了,为什么要这样修改。当你出现错误的内容可以存入用户字典或者文档中。
关于Grammarly的厉害之处请戳:https://youtu.be/wOxVMRwLfjU

 

漏洞分析

从网络上下载老版本的扩展插件,这里我们使用最新版之前的一个版本14.825.1439(这里有所有版本https://www.crx4chrome.com/history/2722/
),然后解压插件包,主要代码都在extension_14_825_1439_0srcjsGrammarly.js文件中,代码很多,但是主要核心漏洞代码如下图所示:


这里在返回的Message对象中,当返回的数据data.action=user,并且data.Grammarly=true时,调用sendUser()函数,在sendUser()函数中直接将user对象返回了,此user对象中包括了用户的所有信息,包括email,firstName,grauth等敏感信息,所以导致任意网站都可以通过触发message事件,通过postMessage操作获取Grammarly用户的敏感信息。

因为Grammarly的很多接口登录认证只需要grauth这个token值就可以直接访问,所以通过恶意获取用户grauth值之后就可以随意操作用户的数据信息了。

 

漏洞验证及利用

在官方的漏洞详情中,漏洞作者给出了在浏览器console中执行几行代码即可触发漏洞,如下图所示:


下面来解释一下这四行代码的意思:

  1. 将当前DOM中的节点元素置为可编辑状态(默认不可编辑);
  2. 返回文档中匹配指定的选择器组的第一个元素,这里返回[data-action=”editor”]的节点元素并执行点击操作;
  3. 返回class=gr_-ifr的iframe节点元素对象,再通过contentWindow得到iframe包含页面的window对象,最后将此对象注册到一个指定的监听器上,当该对象触发指定的事件message时,回调并执行匿名函数;
  4. 通过postMessage触发时间,并发送用户数据。

最后控制台上将返回用户信息中的email和grauth信息,如下图效果:


通过获取到grauth内容后,发送附带grauth
cookie内容(grauth未失效)的请求到Grammarly接口即可获取对应用户数据,如下图访问用户的文档:


其他可利用接口如下:


虽然这里可以证明漏洞,但是并没有充分利用此漏洞将其危害体现出来。漏洞报告中提到任意网站都可以获取用户敏感信息,那就是说我们创建一个恶意网站,只要安装Grammarly
for Chrome插件的用户访问到我们的网站就会被劫持,下面我们来实现此利用场景。

首先我们的站点页面必须存在可编辑文本的功能,比如<textarea>,这样才能自动调出Grammarly功能,所以我们构建如下页面即可:


这里已经成功指出我们的语法错误,这时点击右下角的图标即可进行相关操作了。

然后我们在此页面中加入构造好的js代码,在编辑区触发此js代码即可:


最后将我们构造好的站点发送给受害者,当受害者访问此网站时,鼠标移动到编辑区即可触发漏洞,发送用户email和grauth内容到攻击者服务器,如下图我们的服务器上收到的用户信息:


备注:这里只进行局部测试,攻击方法可行,未进行任何非法操作及数据收集。

 

漏洞修复

在2018年02月02日更新的14.826.1446最新版本中,已经修复此漏洞,在代码中直接将用户的敏感信息删除掉,如下图修复代码对比:


在Chrome中安装最新版本后,通过console调试也可以看出返回的data.user信息中已经没有email和grauth等敏感信息了,如下图所示:


使用Grammarly for Chrome的用户请及时更新避免被恶意攻击者劫持导致信息泄露被滥用。

 

参考链接

https://bugs.chromium.org/p/project-zero/issues/detail?id=1527

本文由 华盟网 作者:AlexFrankly 发表,其版权均为 华盟网 所有,文章内容系作者个人观点,不代表 华盟网 对观点赞同或支持。如需转载,请注明文章来源。

0

发表评论

// 360自动收录 // 360自动收录