G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR

今天介绍的论文WEBRR: A Forensic System for Replaying and Investigating Web-Based Attacks in The Modern Web是USENIX Security 2024的录用论文。在这篇论文中,作者提出了一种基于Chromium构建的web行为记录与重放(record-and-replay,RR)取证审计系统WebRR

G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR

记录与重放是针对web客户端侧攻击(例如XSS)进行取证的重要手段。但现有的相关工具通常只能在操作系统层面(进程、套接字、文件等)记录信息,针对现代的Web应用(使用HTML/CSS渲染,大量依赖Javascript执行)往往很难进行相关的记录与重放,而本文介绍的WebRR系统,不仅能够对高度动态化的网站提供记录与重放功能,而且只会带来平均3.44%的运行时开销,可谓好用又高效。

WebRR的核心思想之一,是将浏览器中执行的JavaScript分割为“JavaScript执行单元”(JS execution unit,JEU),便于确定性记录JavaScript执行流程(确定执行分支)。当脚本标签被插入页面时,WebRR在Blink中添加的脚本控制器(ScriptController)会记录这一过程,以此将不同的脚本分割为脚本单元。WebRR同时记录了回调函数和事件,例如setTimeout或者setInterval在调用时会生成回调函数单元记录,当DOM中发生事件时,记录参与这一事件的所有相关信息,将其组合为事件单元。所有的记录都通过修改Blink实现,同时WebRR阻止JavaScript直接访问其为对象定义的属性,因此具有防篡改功能。最后,在DOM每个节点插入时,WebRR会记录节点的信息,用于重放时DOM状态的维持。

WebRR的重放可以分为DOM重放JavaScript重放事件重放三个不同阶段。对于不同的标签页,重放过程是独立的。下图展示了WebRR重放操作的设计:

G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR

在重放的精确性方面,WebRR通过重放之前记录的JEU,让网页中的JavaScript按照记录时的分支执行,得到和记录时相同的运行结果。同时,对于记录到回调函数单元和事件单元,WebRR会在Blink内部创建相应的对象,当相同的调用或事件发生时,重放记录的信息,得到相同的运行结果。

异步函数会对重放过程造成很大的困难,WebRR通过实现重放分发器保证可靠的记录复现,结果如下图所示,对于异步函数的重放调度细节可以参考原文。

G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR

作者选取了下列针对web客户端的攻击方法,用于评估WebRR的取证效果:

  • 钓鱼攻击 (Phish.)

  • [凭据窃取攻击]

    • https://www.volexity.com/blog/2017/11/06/oceanlotus-blossoms-mass-digital-surveillance-and-exploitation-of-asean-nations-the-media-human-rights-and-civil-society/

  • 依赖于 XSS 的键盘记录器攻击 (KeyLogger)

  • 点击劫持攻击 (Click. Jack.)

  • Drive-by 攻击 (通过网页获取系统控制权限,DriveBy)

  • StealthyPush

  • 两种利用 Service Worker 的攻击

    • StealthyPush

    • XXS-SW

作者在Windows、Linux和Android三个平台上利用WebRR对相关的攻击进行记录重放,相关记录参数和重放结果如下表所示,WebRR在三个平台上都能很好地记录和重放所有的攻击(WebRR基于Chromium,能够在日常访问中跨平台使用)。

G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR

G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR

同时,作者从多方面对比了WebRR和现有工具的差异,展示WebRR能更好的胜任web攻击取证任务,而且运行时开销只有3.44%,且所记录的日志大小大概是每分钟17MB,完全可以在现代计算机上存储。

G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR

G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR


论文:https://www.usenix.org/conference/usenixsecurity24/presentation/allen


原文始发于微信公众号(安全研究GoSSIP):G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR

版权声明:admin 发表于 2024年2月5日 下午9:42。
转载请注明:G.O.S.S.I.P 阅读推荐 2024-02-05 WebRR | CTF导航

相关文章