网易首页 > 网易号 > 正文 申请入驻

Canopy家长控制应用程序曝出xss漏洞

0
分享至

研究人员称,Canopy是一个家长控制应用程序,它提供了一系列的功能,可以通过内容检查来保护孩子们上网,但它却很容易受到各种跨站脚本(XSS)攻击。

这些攻击可以造成禁用孩子的监控甚至是更严重的后果,还可以向家长提供恶意软件。

Canopy提供了防止色情短信、设备照片保护(通过图像过滤)、屏幕时间监控、为父母提供儿童通信警报、违规网站的智能内容过滤,同时,Canopy还使用了人工智能引擎和VPN过滤功能。此外,对于父母来说,它还提供了远程设备管理和控制孩子使用的应用程序和网站的功能。

据安全研究员称,该应用的安装过程需要授予一系列的权限,包括无障碍支持、在其他应用程序之上显示的功能、安装根CA和配置VPN。该应用程序还可以(选择性地)充当设备管理员,防止应用程序被删除......这种特权访问会给设备的安全和使用这些设备的儿童的隐私带来相当大的风险。

事实证明,研究人员的想法并没有错。在研究该应用程序的安卓版本时,研究人员发现了几个XSS漏洞,当恶意脚本被注入到其他正常的或受信任的网站时,就会发生这种攻击。

这种注入通常是通过将恶意代码输入到网络响应或评论字段来实现的,然后有效载荷就会被发送到网络服务器。通常情况下,这些响应会在服务器端被验证,因此恶意脚本就会被阻止了。但在Canopy公司的案例中,研究人员发现该应用缺乏这些方面的检查。

一旦网站被入侵后,那么该网站的任何访问者都有可能成为受害者,要么是被存储型XSS攻击,要么是被引诱点击一个链接,被反射型XSS攻击。

第一个问题是该应用程序的保护措施可以被绕过。

当研究人员测试Canopy的屏蔽不良网站核心功能时,他发现当他试图在测试的安卓设备上加载一个被禁止的网站时,显示的是一个屏蔽通知页面。该通知页面内有一个按钮,它可以使孩子要求他或她的父母允许所要访问的页面。

当在测试设备上点击了这个按钮后,然后在响应的数据中附加上了一个简单的XSS有效载荷脚本,在待访问的网站上创建一个JavaScript弹出窗口,仔细观察会发生什么。当他进入网站时,果然,出现了弹窗口。

该漏洞产生的原因是由于系统未能对用户输入的内容进行转义。研究人员发现,该字段只允许用户输入50个字符,但这就足以输入一个外部脚本。现在我们可以有多种方法来利用这个漏洞。

攻击者(例如被监控的孩子)可以在异常请求中嵌入一个有效攻击载荷。虽然攻击者有多种方式利用这个漏洞,但很明显最简单的方式是自动批准一个请求。这里第一个测试的是一个自动点击批准传入的有效载荷。又测试了另一个有效载荷,它可以自动暂停监控保护。

虽然熟悉脚本知识的孩子可以对父母进行网络攻击,但研究人员也发现它还可以产生更严重的后果。

例如,他观察到阻止通知页面中的URL值(表明哪个网站被拒绝)会显示在父母仪表板的主页面上。研究人员在这里做了一个简单的测试,在URL中添加了一个脚本标签,并在父控制台进行加载,当加载父仪表板的主页面时该脚本就会执行。我们现在可以提交一个异常请求,当父母登录检查被监控的设备时,攻击者就可以控制Canopy应用程序了。

此外,由于攻击需要使用一个特制的URL,因此攻击完全有可能来自外部的第三方平台。攻击者只需要建立一个可能被屏蔽的网站,并在其URL中添加脚本,并诱导孩子尝试访问它。当有关访问请求的通知传到家长控制台时,监控该账户的家长就会成为恶意脚本的受害者。

但这还不是全部。事实证明,Canopy API的设计允许外部攻击者通过猜测父账户的ID,直接将XSS有效载荷注入到父母账户的网页上。这还可能会将用户重定向到广告页面、进行其他漏洞利用、进行恶意软件攻击等后果。最糟糕的是,攻击者还可以劫持对安装在孩子手机上的应用程序的访问,并从受保护的设备中提取GPS坐标。

由于用户的账户ID是一串很简短的数值,因此,攻击者只需依次对每个ID值发出阻断异常请求,就可以在每个账户上使用攻击载荷。

研究人员说,他多次通过电话和电子邮件与该公司进行联系,但几乎没有得到回应,因此他决定披露这些漏洞。他补充说,为了防止儿童受到攻击,开发商应该尽快提出修复措施。

Canopy需要对所有用户输入的字段进行转义,但实际上它并没有这样做。在反复尝试与供应商进行合作后,为方便其他人可以从中了解并采取相应的措施,最终决定公布这份报告 。

参考及来源:https://threatpost.com/canopy-parental-control-app-unpatched-xss-bugs/175384/

特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。

Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.

相关推荐
热点推荐
闹剧结束!网红樊小慧遭多人控诉,宣布退网,精神状态惹人担忧

闹剧结束!网红樊小慧遭多人控诉,宣布退网,精神状态惹人担忧

甜小娱儿
2024-06-14 16:07:49
中国女排3-2逆转土耳其,赛后收获三个好消息,蔡斌终于等到了!

中国女排3-2逆转土耳其,赛后收获三个好消息,蔡斌终于等到了!

阿志侃体育
2024-06-15 23:52:23
当过4年县长、5年县委书记,戴邦和被查

当过4年县长、5年县委书记,戴邦和被查

鲁中晨报
2024-06-15 10:03:05
放贷者报案,广东云浮实业家被抓

放贷者报案,广东云浮实业家被抓

刘虎和朋友们
2024-06-15 21:10:08
新闻背后:贵州卫健委美女厅官杨慧落马,人上人到鬼中鬼的人生路

新闻背后:贵州卫健委美女厅官杨慧落马,人上人到鬼中鬼的人生路

肖飞说
2024-06-16 01:24:07
经济形势有多严峻?3个现象席卷中国各地,预示苦日子已开始?

经济形势有多严峻?3个现象席卷中国各地,预示苦日子已开始?

山丘楼评
2024-06-07 11:45:11
男子猎场放生黄皮子,新婚夜黄皮子托梦:上床睡觉别脱鞋,莫碰新娘

男子猎场放生黄皮子,新婚夜黄皮子托梦:上床睡觉别脱鞋,莫碰新娘

古今档案
2024-05-13 17:50:13
爆冷杀入“阿里全球数学竞赛”的中专女生:梦想就是考大学

爆冷杀入“阿里全球数学竞赛”的中专女生:梦想就是考大学

澎湃新闻
2024-06-13 20:48:30
女生私密「小花瓣」形状到底什么样,才算正常

女生私密「小花瓣」形状到底什么样,才算正常

水白头
2024-06-15 01:35:03
克罗斯第50分钟出现本场唯一一次传球失误,解说调侃:珍藏品

克罗斯第50分钟出现本场唯一一次传球失误,解说调侃:珍藏品

直播吧
2024-06-15 06:57:20
缅北女魔头魏榕,帅哥真实自述:把我关进狗笼,我口腔感染了3次

缅北女魔头魏榕,帅哥真实自述:把我关进狗笼,我口腔感染了3次

马尔科故事会
2024-06-15 11:51:34
范丞丞主演电影累计票房破50亿

范丞丞主演电影累计票房破50亿

界面新闻
2024-06-14 14:08:34
重庆黑老大杨天庆因超车惹祸上身,车内老者一句话,黑帮覆灭

重庆黑老大杨天庆因超车惹祸上身,车内老者一句话,黑帮覆灭

安妮Emotiong
2024-06-12 19:16:04
终于出手了!严惩3大叛徒,永不恢复中国籍!

终于出手了!严惩3大叛徒,永不恢复中国籍!

星辰故事屋
2024-06-15 17:35:32
中国拦截成功!拜登傻眼了,外媒:美国军工将遭遇“灭顶之灾”

中国拦截成功!拜登傻眼了,外媒:美国军工将遭遇“灭顶之灾”

星辰故事屋
2024-06-14 19:06:38
大瓜!又有网友自曝给王思聪生孩子,称万达长孙,喊话不想再忍了

大瓜!又有网友自曝给王思聪生孩子,称万达长孙,喊话不想再忍了

拾娱先生
2024-06-15 22:05:08
欧洲杯惨败之夜,38岁巨星消失!65分钟被换下,遭球迷恶搞

欧洲杯惨败之夜,38岁巨星消失!65分钟被换下,遭球迷恶搞

叶青足球世界
2024-06-16 02:56:58
罕见省部级高干在中央党报公开表达“不满”:困惑很久,不吐不快

罕见省部级高干在中央党报公开表达“不满”:困惑很久,不吐不快

华人星光
2024-06-07 19:20:09
欧洲杯,没人看了?

欧洲杯,没人看了?

中国新闻周刊
2024-06-14 22:15:43
一单亲妈妈穿“露奶装”送娃上学,男家长:光着整个脊背成何体统

一单亲妈妈穿“露奶装”送娃上学,男家长:光着整个脊背成何体统

知秋侃史
2024-06-12 04:14:35
2024-06-16 04:34:44
嘶吼RoarTalk
嘶吼RoarTalk
不一样的互联网安全新视界
7434文章数 10509关注度
往期回顾 全部

科技要闻

TikTok开始找退路了?

头条要闻

欧洲杯-亚马尔创纪录卡瓦哈尔首球 西班牙3-0克罗地亚

头条要闻

欧洲杯-亚马尔创纪录卡瓦哈尔首球 西班牙3-0克罗地亚

体育要闻

莱夫利,让困难为我让路

娱乐要闻

江宏杰秀儿女刺青,不怕刺激福原爱?

财经要闻

新情况!高层对人民币的态度180°转弯

汽车要闻

东风奕派eπ008售21.66万元 冰箱彩电都配齐

态度原创

健康
手机
艺术
本地
公开课

晚餐不吃or吃七分饱,哪种更减肥?

手机要闻

小米澎湃OS再次公布进展通报:多项问题优化中,且全是内置应用!

艺术要闻

穿越时空的艺术:《马可·波罗》AI沉浸影片探索人类文明

本地新闻

粽情一夏|海河龙舟赛,竟然成了外国人的大party!

公开课

近视只是视力差?小心并发症

无障碍浏览 进入关怀版