turbolinks で実際に攻撃する為に必要な事

まだ厳密に検証した訳じゃない。 -> それなりにマジメに検証した & 背景をちょっとだけ勉強した

攻撃が成立する条件

• オープンリダイレクタが設置されてる
• サイト内にユーザーが自由にリンク記述できる
• ブラウザーが IE
  • IE 以外では same origin から cross origin へのリダイレクトが XHR 内で起きるとエラーになる
    • どうもこの辺りの仕様がはっきりしていないので実装依存、という理解。
    • 有用な参考文献 (1 年前の文献)
    • 今日の Firefox では same origin から cross origin へのリダイレクトはプリフライト必要な場合にエラー
    • Firefox にしろ Chrome にしろ Safari にしろ何もメッセージを言わずにエラーだけ吐きやがる
    • リリース版 IE10 ではエラー起きません
    • 正直 XHR 中で same origin から cross origin へのリダイレクトでエラーが発生しなくて嬉しくない事例が思いつかない。嫌がらせと攻撃にしか使えないだろ。 IE がおかしい。
    • IE の動作が正しいとのこと
      • つまり今後この XSS が発生する環境はどんどん増える可能性があります
    • ちなみに古い IE では XHR Level 2 自体が動かない。
• 攻撃サーバー側がきちんと対応してること。

ここでカスタムヘッダが設定されてるので攻撃サーバー側は nginx なら以下みたいに設定する必要がある。

add_header Access-Control-Allow-Origin *;
add_header Access-Control-Allow-Methods "POST, GET, OPTIONS";
add_header Access-Control-Allow-Headers "Origin, Authorization, Accept";                                                                          
add_header Access-Control-Allow-Credentials true;         

location / {                                                                                                                                                   
  if ($request_method = OPTIONS ) {                                                                                                                                
    add_header Access-Control-Allow-Origin *;
    add_header Access-Control-Allow-Methods "POST, GET, OPTIONS";
    add_header Access-Control-Allow-Headers "Origin, Authorization, Accept, X-XHR-Referer";
    add_header Access-Control-Allow-Credentials true;
    add_header Content-Length 0;
    add_header Content-Type text/plain;
    return 200;                                                                                                                                  
  }                                                                                                                                                 
}

Rails 側は実証コードも糞もあるか。

重要なのは OPTION ではちゃんと X-XHR-Referer を受け入れること。本番リクエストでは別に受け入れなくていい。普通の CORS の話です。

未来予想

この状態で turbolinks デフォルトとかクレイジーでしょ => デフォルトから外す pull req を誰かが投げる => 「オープンリダイレクタ置くようなバカの為にデフォルトから外すのはおかしい」みたいな意見が出てくる => #128 みたいな炎上事案になる

— 未来世紀ひだまりスケッチの絶対の危機 (@ssig33) March 13, 2013

XHR Level 2 自体が人類にはまだ早すぎた感ある。

---

Site Search

Update History of this content