网易首页 > 网易号 > 正文 申请入驻

Canopy家长控制应用程序曝出xss漏洞

0
分享至

研究人员称,Canopy是一个家长控制应用程序,它提供了一系列的功能,可以通过内容检查来保护孩子们上网,但它却很容易受到各种跨站脚本(XSS)攻击。

这些攻击可以造成禁用孩子的监控甚至是更严重的后果,还可以向家长提供恶意软件。

Canopy提供了防止色情短信、设备照片保护(通过图像过滤)、屏幕时间监控、为父母提供儿童通信警报、违规网站的智能内容过滤,同时,Canopy还使用了人工智能引擎和VPN过滤功能。此外,对于父母来说,它还提供了远程设备管理和控制孩子使用的应用程序和网站的功能。

据安全研究员称,该应用的安装过程需要授予一系列的权限,包括无障碍支持、在其他应用程序之上显示的功能、安装根CA和配置VPN。该应用程序还可以(选择性地)充当设备管理员,防止应用程序被删除......这种特权访问会给设备的安全和使用这些设备的儿童的隐私带来相当大的风险。

事实证明,研究人员的想法并没有错。在研究该应用程序的安卓版本时,研究人员发现了几个XSS漏洞,当恶意脚本被注入到其他正常的或受信任的网站时,就会发生这种攻击。

这种注入通常是通过将恶意代码输入到网络响应或评论字段来实现的,然后有效载荷就会被发送到网络服务器。通常情况下,这些响应会在服务器端被验证,因此恶意脚本就会被阻止了。但在Canopy公司的案例中,研究人员发现该应用缺乏这些方面的检查。

一旦网站被入侵后,那么该网站的任何访问者都有可能成为受害者,要么是被存储型XSS攻击,要么是被引诱点击一个链接,被反射型XSS攻击。

第一个问题是该应用程序的保护措施可以被绕过。

当研究人员测试Canopy的屏蔽不良网站核心功能时,他发现当他试图在测试的安卓设备上加载一个被禁止的网站时,显示的是一个屏蔽通知页面。该通知页面内有一个按钮,它可以使孩子要求他或她的父母允许所要访问的页面。

当在测试设备上点击了这个按钮后,然后在响应的数据中附加上了一个简单的XSS有效载荷脚本,在待访问的网站上创建一个JavaScript弹出窗口,仔细观察会发生什么。当他进入网站时,果然,出现了弹窗口。

该漏洞产生的原因是由于系统未能对用户输入的内容进行转义。研究人员发现,该字段只允许用户输入50个字符,但这就足以输入一个外部脚本。现在我们可以有多种方法来利用这个漏洞。

攻击者(例如被监控的孩子)可以在异常请求中嵌入一个有效攻击载荷。虽然攻击者有多种方式利用这个漏洞,但很明显最简单的方式是自动批准一个请求。这里第一个测试的是一个自动点击批准传入的有效载荷。又测试了另一个有效载荷,它可以自动暂停监控保护。

虽然熟悉脚本知识的孩子可以对父母进行网络攻击,但研究人员也发现它还可以产生更严重的后果。

例如,他观察到阻止通知页面中的URL值(表明哪个网站被拒绝)会显示在父母仪表板的主页面上。研究人员在这里做了一个简单的测试,在URL中添加了一个脚本标签,并在父控制台进行加载,当加载父仪表板的主页面时该脚本就会执行。我们现在可以提交一个异常请求,当父母登录检查被监控的设备时,攻击者就可以控制Canopy应用程序了。

此外,由于攻击需要使用一个特制的URL,因此攻击完全有可能来自外部的第三方平台。攻击者只需要建立一个可能被屏蔽的网站,并在其URL中添加脚本,并诱导孩子尝试访问它。当有关访问请求的通知传到家长控制台时,监控该账户的家长就会成为恶意脚本的受害者。

但这还不是全部。事实证明,Canopy API的设计允许外部攻击者通过猜测父账户的ID,直接将XSS有效载荷注入到父母账户的网页上。这还可能会将用户重定向到广告页面、进行其他漏洞利用、进行恶意软件攻击等后果。最糟糕的是,攻击者还可以劫持对安装在孩子手机上的应用程序的访问,并从受保护的设备中提取GPS坐标。

由于用户的账户ID是一串很简短的数值,因此,攻击者只需依次对每个ID值发出阻断异常请求,就可以在每个账户上使用攻击载荷。

研究人员说,他多次通过电话和电子邮件与该公司进行联系,但几乎没有得到回应,因此他决定披露这些漏洞。他补充说,为了防止儿童受到攻击,开发商应该尽快提出修复措施。

Canopy需要对所有用户输入的字段进行转义,但实际上它并没有这样做。在反复尝试与供应商进行合作后,为方便其他人可以从中了解并采取相应的措施,最终决定公布这份报告 。

参考及来源:https://threatpost.com/canopy-parental-control-app-unpatched-xss-bugs/175384/

特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。

Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.

相关推荐
热点推荐
解读|M1和M2同比增速为何持续下行

解读|M1和M2同比增速为何持续下行

澎湃新闻
2024-06-15 07:24:26
世界女排联赛最新积分榜:日本超世界第1!全队又哭了!垫底队胜

世界女排联赛最新积分榜:日本超世界第1!全队又哭了!垫底队胜

求球不落谛
2024-06-15 20:24:24
日本“马赛克破解版”电影疯传,IT记者:在中国市场非常大

日本“马赛克破解版”电影疯传,IT记者:在中国市场非常大

葫芦哥爱吐槽
2024-06-14 09:31:50
退休金待遇比较高的人,一般都是什么类型的人呢?

退休金待遇比较高的人,一般都是什么类型的人呢?

社保小达人
2024-06-08 12:57:46
如果你背了很多负债,惨到亲人也瞧不起你,请牢记“卖驴”思维

如果你背了很多负债,惨到亲人也瞧不起你,请牢记“卖驴”思维

阿胖读书
2024-06-08 17:10:34
有人已经中招!你以为铁头施肥就完了?带来的影响逐步显现

有人已经中招!你以为铁头施肥就完了?带来的影响逐步显现

据说说娱乐
2024-06-15 16:49:23
路易小王子在庆典上表情包又火了!差点抢了凯特风头,还打哈欠呢

路易小王子在庆典上表情包又火了!差点抢了凯特风头,还打哈欠呢

童童聊娱乐啊
2024-06-15 23:14:36
他刚当市长就被老百姓指责,后来官至政治局常委,如今已经86岁了

他刚当市长就被老百姓指责,后来官至政治局常委,如今已经86岁了

李姐历史
2024-06-14 09:57:42
拜登已签字,22国一致对华征税,中方加量囤粮食,瑞典的努力白费

拜登已签字,22国一致对华征税,中方加量囤粮食,瑞典的努力白费

小小包工头阿汾
2024-06-15 17:11:37
金砖运动会金牌榜:中国队第三,以色列巴勒斯坦挂0,日本队垫底

金砖运动会金牌榜:中国队第三,以色列巴勒斯坦挂0,日本队垫底

小豆豆赛事
2024-06-15 18:08:35
青岛下跌7.3%,东营反超烟台!山东各地1-4月税收收入排行出炉

青岛下跌7.3%,东营反超烟台!山东各地1-4月税收收入排行出炉

水又木二
2024-06-15 17:43:14
足协酝酿超级罚单!3家俱乐部扣分或降级 会有泰山队吗?

足协酝酿超级罚单!3家俱乐部扣分或降级 会有泰山队吗?

球事百科吖
2024-06-15 18:10:08
将近40岁满脸褶,却尬演18岁少女,是谁给了她“强行装嫩”的勇气

将近40岁满脸褶,却尬演18岁少女,是谁给了她“强行装嫩”的勇气

娱乐圈十三太保
2024-05-28 13:56:53
沪深交易所发布重要调整!

沪深交易所发布重要调整!

新理财杂志
2024-06-15 11:20:08
杀人诛心!美法突然重磅宣布!

杀人诛心!美法突然重磅宣布!

大嘴说天下
2024-06-11 20:38:15
三个理由,证明A股超级大牛市即将展开!

三个理由,证明A股超级大牛市即将展开!

股海风云大作手
2024-06-15 19:31:40
贵州动态清零:悬崖呼救犹在耳边,万元低收人口已消失,逆袭标杆

贵州动态清零:悬崖呼救犹在耳边,万元低收人口已消失,逆袭标杆

大风文字
2024-06-15 09:56:17
广东一家三口全部染病,丈夫得知真相后,将妻子7刀捅死

广东一家三口全部染病,丈夫得知真相后,将妻子7刀捅死

纪实录
2024-06-09 18:39:35
周也凉凉!一部戏五替身,武替水替脚替背替马替,成下一个吴谨言

周也凉凉!一部戏五替身,武替水替脚替背替马替,成下一个吴谨言

八卦王者
2024-06-15 16:58:14
今日三场欧洲杯,真假意大利有看头

今日三场欧洲杯,真假意大利有看头

阿牛体育说
2024-06-16 00:21:25
2024-06-16 03:00:49
嘶吼RoarTalk
嘶吼RoarTalk
不一样的互联网安全新视界
7434文章数 10509关注度
往期回顾 全部

科技要闻

TikTok开始找退路了?

头条要闻

欧洲杯-亚马尔创纪录卡瓦哈尔首球 西班牙3-0克罗地亚

头条要闻

欧洲杯-亚马尔创纪录卡瓦哈尔首球 西班牙3-0克罗地亚

体育要闻

莱夫利,让困难为我让路

娱乐要闻

江宏杰秀儿女刺青,不怕刺激福原爱?

财经要闻

新情况!高层对人民币的态度180°转弯

汽车要闻

东风奕派eπ008售21.66万元 冰箱彩电都配齐

态度原创

亲子
时尚
本地
房产
公开课

亲子要闻

孩子总是便秘 家长要注意 这几点

艳压四方的刘亦菲,也没能赢她

本地新闻

粽情一夏|海河龙舟赛,竟然成了外国人的大party!

房产要闻

万华对面!海口今年首宗超百亩宅地,重磅挂出!

公开课

近视只是视力差?小心并发症

无障碍浏览 进入关怀版