回归最本质的信息安全

Google又造出一款挖洞神器,在5大主流浏览器上找到31个漏洞

2017年9月25日发布

49,163
0
5

导语:Google的Project Zero团队最近创建了一款用于测试浏览器DOM引擎的新工具,并针对前五大浏览器进行了测试,结果发现苹果Safari存在很多漏洞。

Google的Project Zero团队最近创建了一款用于测试浏览器DOM引擎的新工具,并针对前五大浏览器进行了测试,结果发现苹果Safari存在很多漏洞。

Safari.png

这个名为Domato的工具实际上是一个fuzzer,一个安全测试工具包,能为软件应用程序提供随机数据,并分析异常输出。

Google工程师Ivan Fratric创建了Domato,目的是fuzz DOM引擎。Domato通过浏览器组件读取HTML代码并将其组织到DOM(文档对象模型)中,然后将其“绘制”并显示在用户浏览器窗口中。

DOM引擎的bug应该成为安全的重点

Fratric表示,他非常专注于DOM引擎,因为它相比其他组件来说存在“一个罕见的情况”,那就是供应商经常会发布包含至少几个DOM引擎漏洞修补程序的安全更新。毫无疑问,这显示了DOM引擎安全问题的流行。

他还认为,虽然Flash 漏洞提供了跨浏览器的攻击面,但一旦Flash被彻底停用(2020年),攻击者就会将重点放在浏览器最大的攻击面——DOM引擎上。

因此,通过Domato他希望能帮助厂商测试并修补浏览器DOM引擎中的安全漏洞。

在Safari的DOM引擎中发现了17个安全漏洞

为了证明Domato的新功能,Fratric针对Chrome,Firefox,Internet Explorer,Edge和Safari等五大浏览器来进行测试——利用Domato 进行了1亿次fuzz测试

结果显示,Safari拥有最差的DOM引擎,在Fratric的测试中被发现了17个新的漏洞。其次是Edge有6个新的漏洞,IE和Firefox有4个新的漏洞,而Chrome只有2个新的bug。

Fratric还指出,很多非安全漏洞是很容易被忽视的,如果Microsoft不在IE和Edge中添加MemGC,那么这些浏览器会变得更糟。

TIM截图20170924224416.png

其实总数应该是33个,但是有2个漏洞影响了多个浏览器。

Firefox中发现的一个漏洞是在Skia图形库中,而不是Firefox源代码,但该漏洞的代码问题仍然是由Mozilla工程师向Skia贡献的。

Google表示,他们已经联系了所有浏览器供应商,并向他们报告了新发现的漏洞,也提供了Domato引擎的副本,这样每个供应商都可以进行更广泛的测试了。

Fratric还在GitHub上开源Domato源代码并希望大家能够将其应用到其他应用程序上,而不仅仅是DOM引擎浏览器。

一个有趣的现象是,Domato是Google工程师发布的最新款fuzz工具,而事实上,我们会发现他们在挖掘安全漏洞的同时,似乎对这种技术很感兴趣,因为在这之前的他们还发布过两款工具OSS-Fuzzsyzkaller

本文翻译自https://www.bleepingcomputer.com/news/security/google-experiment-tests-top-5-browsers-finds-safari-riddled-with-security-bugs/,如若转载,请注明原文地址: http://www.4hou.com/info/news/7797.html

点赞 5
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

Change

Change

嘶吼编辑

发私信

发表评论