什么是跨站攻擊？跨站點(diǎn)腳本攻擊（也稱為XSS）是指利用網(wǎng)站漏洞惡意竊取用戶信息的行為。用戶通常在瀏覽網(wǎng)站、使用即時(shí)通訊軟件甚至閱讀電子郵件時(shí)單擊這些鏈接。攻擊者可以通過(guò)在鏈接中插入惡意代碼來(lái)竊取用戶信

什么是跨站攻擊？

跨站點(diǎn)腳本攻擊（也稱為XSS）是指利用網(wǎng)站漏洞惡意竊取用戶信息的行為。用戶通常在瀏覽網(wǎng)站、使用即時(shí)通訊軟件甚至閱讀電子郵件時(shí)單擊這些鏈接。攻擊者可以通過(guò)在鏈接中插入惡意代碼來(lái)竊取用戶信息。攻擊者通常以十六進(jìn)制（或其他編碼方法）對(duì)鏈接進(jìn)行編碼，以避免用戶懷疑其合法性。在收到包含惡意代碼的請(qǐng)求后，網(wǎng)站會(huì)生成一個(gè)包含惡意代碼的頁(yè)面，該頁(yè)面看起來(lái)像是網(wǎng)站應(yīng)該生成的合法頁(yè)面。許多流行的留言簿和論壇程序允許用戶發(fā)布包含HTML和JavaScript的帖子。假設(shè)用戶a發(fā)布了一篇含有惡意腳本的帖子，當(dāng)用戶B瀏覽該帖子時(shí)，惡意腳本將執(zhí)行并竊取用戶B的會(huì)話信息，跨站點(diǎn)腳本攻擊的三個(gè)步驟如下：

1。HTML注入。所有的HTML注入示例都只注入了一個(gè)JavaScript彈出警告框：Alert（1）。做壞事。如果您認(rèn)為警告框不夠刺激，當(dāng)受害者單擊注入HTML代碼的頁(yè)面鏈接時(shí)，攻擊者可以進(jìn)行各種惡意操作。

3. 誘捕受害者。

WhatsApp桌面客戶端遠(yuǎn)程文件訪問(wèn)和代碼執(zhí)行漏洞的影響有多大？

該漏洞是由安全研究人員gal weizman和perimeter X聯(lián)合發(fā)現(xiàn)的。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）評(píng)估的嚴(yán)重性級(jí)別為8.2。

[caption via techspot

早在2017年，研究人員就發(fā)現(xiàn)了更改他人回復(fù)文本的問(wèn)題。魏茨曼意識(shí)到，他可以利用富媒體來(lái)創(chuàng)建假消息，并將目標(biāo)重定向到他指定的位置。

安全研究人員進(jìn)一步證實(shí)了這一點(diǎn)，并可以使用JavaScript實(shí)現(xiàn)一鍵式持久跨站點(diǎn)腳本攻擊（XSS）。

最終繞過(guò)WhatsApp的CPS規(guī)則，增強(qiáng)攻擊能力，甚至實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。

經(jīng)過(guò)一番挖掘，研究人員意識(shí)到這一切都是可行的。因?yàn)镕acebook提供的WhatsApp桌面應(yīng)用程序版本正式基于Chrome69的過(guò)時(shí)版本。

當(dāng)Chrome78正式發(fā)布時(shí)，這個(gè)問(wèn)題就暴露了出來(lái)，早期版本中使用的JavaScript功能已經(jīng)修補(bǔ)。

如果WhatsApp將其electron web應(yīng)用程序從4.1.4更新為最新版本（7。十、 X）發(fā)現(xiàn)時(shí)，XSS將不再存在。

Facebook稱cve-2019-18426漏洞影響0.3.9309之前的WhatsApp桌面客戶端和2.20.10之前的iPhone客戶端。

有關(guān)該漏洞的詳細(xì)信息，請(qǐng)?jiān)L問(wèn)weizman的perimeterx博客文章。