- 1、本文档共60页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
发现0day之后-负责任的安全漏洞披露过程1
发现0day之后—
负责任的安全漏洞披露过程
翰海源王伟
Who am I?
• Aka alert7 ,xfocus核心成员
• 曾任McAfee高级研究员
• 南京翰海源公司联合创始人,技
术总监,主持Code Audit
Labs(代码审计实验室)
大纲
• 发现0day-浏览器捉虫月
• 与厂家沟通中碰到的问题
• 国内外安全认识现状
• 负责任的安全漏洞披露过程
二月浏览器捉虫月
• 选取了一些市面上常见的浏览器
– 国外5个浏览器
– 国内6个浏览器
发现0day
• 共发现33个浏览器安全漏洞
– XSS 6 (18% )
– SPOOF 9(27%)
– SOP BYPASS 9(27%)
– 传统溢出类 9(27%)
统计分析
• 国内浏览器的传统溢出类没有测试
SPOOF
• URL Address Bar SPOOF
– drag spoof
– hook event key
– hook enter key
• RLO filename spoof
• Inertia-Clickjacking
• Status Bar Spoof
• …
欺骗眼睛
• 楼上?楼下?
图片来自网络
欺骗眼睛
• 你能数清楚几个黑
点吗
图片来自网络
欺骗眼睛
• 这个人真存在吗
图片来自网络
CAL-2012-0001
• firefox drag spoof
– tested Firefox 9.0.1, 10.0
CAL-2012-0002
• Chrome drag Spoof
CAL-2012-0038
• Browser RLO download filename
spoof, Affect following
– Maxthon,
– Sogou explorer
– Baidu
CAL-2012-0038-baidu
CAL-2012-0038-maxthon
CAL-2012-0038-Sogou
CAL-2012-0038-about RLO
• bidi character vs security
– /weiwang_blog/blo
g/item/3535b508951643da63d98659.
html
– S[RLO]iva.bin.exe显示为Sexe.nib.avi
SOP BYPASS
• 跨浏览器的域
• 跨website的域
CAL-2012-0013
• Maxthon URL handle Code
execution vulnerability
– SOP bypass—跨浏览器的域
C
您可能关注的文档
- 单相多功能电力仪表说明书7.pdf
- 南京债权债务律:蔡二虎诉南通建工集团等因项目负责人擅自对外借款要求公司承担连带责任被二审改判案.docx
- 南京地理与湖泊研究所元旦晚会9.pptx
- 南京巿溧水区化学一模试卷及答案.pdf
- 南京巿历史中考调整考点解析.ppt
- 南京巿玄武区物理一模试卷及答案.pdf
- 南京巿高淳区物理一模试卷及答案.pdf
- 南京巿秦淮区语文一模试卷及答案.pdf
- 南京市栖霞区经五路纬一路交叉口西北角地块,南至栖霞大.PDF
- 南京邮电大学光电工程学院4.pdf
- 分析let s单元56ago2卷纸zheng unit56.pdf
- 塑胶材料其它分类原料pa9t 12.pdf
- md16x16数字媒体切换器设备.pdf
- 者参考项目发起人学科类型单位序列承包商修订页代码顺序典型.pdf
- 届世界天然气大会阿姆斯特丹2006add10288.pdf
- 期测试记录表每周weekly g1g6 journeys tests level 6 lesson26.pdf
- modernize-whitepaper现代化您应用程序白皮书.pdf
- anybackup产品典型案例分析.pdf
- 约克金融工程课程tfeslide32.pdf
- 广州市妇女儿童医疗中心历份教学药历01tjy.pdf
文档评论(0)