Firefox扩展被恶意利用大多数用户很受伤 Firefox浏览器拼老命连夜赶出升级版本修复

百度也好 · 发表于 2016-4-9 06:01:44

外媒Arstech近日报道称，上周在新加坡召开的黑帽亚洲2016安全峰会上，来自美国的两名科学专家在演讲中详细解释了热门Firefox扩展应用程序如何被其他（恶意）扩展程序利用来攻击用户。来自美国波士顿大学的Ahmet Buyukkayhan博士和东北大学的William Robertson教授在此次峰会上透露和公布了能够被攻击者利用的Mozilla的扩展生态系统漏洞。

在过去两年间，两名安全专家使用了称之为“extension reuse”的机制来创建了各种恶意扩展程序，从而让恶意代码感染其他扩展程序，并最终通过他们来最终感染系统。并且伴随着感染的深入，该恶意扩展程序可在Firefox不断执行提升权限，从而获取足够多的能力来实现攻击者的目的。而更为糟糕的是，至少有1款恶意扩展能够轻松通过Mozilla的审查流程。

Firefox扩展被恶意利用大多数用户很受伤 Firefox浏览器拼老命连夜赶出升级版本修复 B2B网络软件

Firefox扩展被恶意利用大多数用户很受伤 Firefox浏览器拼老命连夜赶出升级版本修复 B2B网络软件

研究人员指出，虽然成功发起攻击的条件限制比较多，比如目标用户必须向安装恶意扩展；安装了恶意扩展的用户的Firefox浏览器上还必须安装有能被利用的扩展程序；当然，鉴于10个热门扩展中有9个都有几率被感染，攻击成功的几率还是比较可观的。在他们的测试中，他们可以使用类似于油猴扩展（超过150万激活安装）、Video DownloadHelper (650万激活安装)和NoScript (250万激活安装)等10个热门扩展中的9个成功实现了恶意攻击。之所以会出现此情况，和Firefox浏览器自身并没有良好的扩展独立运行（沙箱）有关，而其他大多数浏览器已经具备这项技术。

Firefox扩展被恶意利用大多数用户很受伤 Firefox浏览器拼老命连夜赶出升级版本修复 B2B网络软件

"我们注意到，虽然可以结合多个扩展重用漏洞以进行复杂高级的攻击，但很多时候即使在系统上安装了为数很少的扩展，只需要使用一个有漏洞的扩展就能发动致命的攻击。"。"例如，攻击者可以简单地重定向用户访问的链接到网络钓鱼网站或者下载含有恶意程序的文件到用户系统中。"
Firefox扩展被恶意利用大多数用户很受伤 Firefox浏览器拼老命连夜赶出升级版本修复

提到Mozilla的Firefox浏览器大家一定不陌生，最近该公司针对iOS系统发布了Firefox 3.0版本。心版本不仅与第三方应用融合的更好，而且增加了安全特性。

在新版本当中加入了Firefox Password Manager密码管理器，能够安全地储存网页用户名和密码。同时登录网页可以自动填写，也可以使用四位数字加密以及Touch ID来保障密码管理器。虽然对真正的黑客来说未必有效，但起码可以防止手机丢失时别人窃取你的密码，也可以防止身边的人随意浏览。

Firefox扩展被恶意利用大多数用户很受伤 Firefox浏览器拼老命连夜赶出升级版本修复 B2B网络软件