外媒Arstech近日报道称，上周在新加坡召开的黑帽亚洲2016安全峰会上，来自美国的两名科学专家在演讲中详细解释了热门Firefox扩展应用程序如何被其他（恶意）扩展程序利用来攻击用户。来自美国波士顿大学的Ahmet Buyukkayhan博士和东北大学的William Robertson教授在此次峰会上透露和公布了能够被攻击者利用的Mozilla的扩展生态系统漏洞。
: g$ h3 b0 Q# i. X4 S2 v' k' P2 R$ l* Q
在过去两年间，两名安全专家使用了称之为“extension reuse”的机制来创建了各种恶意扩展程序，从而让恶意代码感染其他扩展程序，并最终通过他们来最终感染系统。并且伴随着感染的深入，该恶意扩展程序可在Firefox不断执行提升权限，从而获取足够多的能力来实现攻击者的目的。而更为糟糕的是，至少有1款恶意扩展能够轻松通过Mozilla的审查流程。- f3 [7 Z6 @. E
- y% z" t7 R( U
; O2 X; I- j) o
/ P, m. w3 m$ m% o, q. j$ q/ e' k8 }5 R8 D
( ?2 }* y% W V# @
研究人员指出，虽然成功发起攻击的条件限制比较多，比如目标用户必须向安装恶意扩展；安装了恶意扩展的用户的Firefox浏览器上还必须安装有能被利用的扩展程序；当然，鉴于10个热门扩展中有9个都有几率被感染，攻击成功的几率还是比较可观的。在他们的测试中，他们可以使用类似于油猴扩展（超过150万激活安装）、Video DownloadHelper (650万激活安装)和NoScript (250万激活安装)等10个热门扩展中的9个成功实现了恶意攻击。之所以会出现此情况，和Firefox浏览器自身并没有良好的扩展独立运行（沙箱）有关，而其他大多数浏览器已经具备这项技术。
1 J9 E1 ]( ?2 ]/ t& y( a
* t3 V# C" w3 k* z, C1 \
0 e, {4 C+ \0 A7 W0 r) |
3 d( i2 p) D2 [; `. B "我们注意到，虽然可以结合多个扩展重用漏洞以进行复杂高级的攻击，但很多时候即使在系统上安装了为数很少的扩展，只需要使用一个有漏洞的扩展就能发动致命的攻击。"。"例如，攻击者可以简单地重定向用户访问的链接到网络钓鱼网站或者下载含有恶意程序的文件到用户系统中。"9 B0 w, \2 x. y; _, ^8 c
Firefox扩展被恶意利用大多数用户很受伤 Firefox浏览器拼老命连夜赶出升级版本修复
6 D; g5 s$ ?0 b1 L8 }6 g提到Mozilla的Firefox浏览器大家一定不陌生，最近该公司针对iOS系统发布了Firefox 3.0版本。心版本不仅与第三方应用融合的更好，而且增加了安全特性。 在新版本当中加入了Firefox Password Manager密码管理器，能够安全地储存网页用户名和密码。同时登录网页可以自动填写，也可以使用四位数字加密以及Touch ID来保障密码管理器。虽然对真正的黑客来说未必有效，但起码可以防止手机丢失时别人窃取你的密码，也可以防止身边的人随意浏览。
细节方面进行了大量修改，比如可从新标签页删除默认建议网页；对新用户，Alexa.com排名的5个站点会作为默认建议网页（根据国家）；根据用户网页访问历史，与Alexa排名前100的网站，自动完成和预测URL地址，更快地访问网站；加入丹麦区域设置。 9 q2 T9 E! g" P3 ^, ~ ?5 U1 ^* J
# u* a* k9 n: h$ X0 \
| 
|»营销软件综合讨论|»营销软件有问必答|»营销软件教程专区|»营销软件POST脚本分享|»营销软件普通脚本分享|»营销软件软件资讯|»营销软件精品软件|»营销软件更新公告|营销软件|B2B软件|B2B网络软件
( 京ICP备09078825号 )本网站开发的营销软件是一款新的网络营销软件，这款营销可以去网站软件，博客软件，B2B软件，分类信息网发贴，可以抢沙发，可以到百度文库上传WORD文档，可以到一些是相册网站自动上传图片，这个自动发帖软件自带云蜘蛛，加快收录，有6种对接打码接口，方便，效率高，速度快，而且对拖动的验证码全网第一家独家支持，全部原创技术，独家研发，正版原创带版权软件。选择万能营销软件，就选择了一种赚钱的效率，从没有被超越过，一直在努力研发新技术。放飞梦想，解放双手，来点创意，成就你的梦想，就在万能营销软件开始
发表于 2016-4-9 06:01:44
收藏
