Google Docs漏洞可窃取私有文档截图-低调大师

Google Docs漏洞可窃取私有文档截图

2020-12-31 620

包括Google Docs在内的许多谷歌产品都有"Send feedback"或"Help Docs improve"的选项，允许用户发送包含截图的反馈来改善产品。该反馈特征部署在谷歌的主网www.google.com，并通过iframe元素集成在其他域名中，在iframe元素可以从feedback.googleusercontent.com 加载弹窗内容。

试想我们使用Google Docs (https://docs.google.com/document) 并提交一个反馈。点击Help--> Send Feedback 后，就可以看到弹出的弹窗加载了文档的截图。Iframe的源(www.google.com) 与Google docs (docs.google.com)是不同的，因此要成功提交该截图必须要进行跨域通信。实际上，Google docs会通过postmessage发送每个像素的RGB值给www.google.com，然后再通过postmessage重定向这些RGB值到其iframe feedback.googleusercontent.com，然后从像素的RGB值渲染图像，并将base64编码的数据URI发送回主iframe。

这一过程完成后，要写一个feedback的描述，并点击发送描述和图像到https://www.google.com。

研究人员Sreeram在消息发送到feedback.googleusercontent.com的过程中发现了一个安全漏洞，攻击者利用该漏洞可以修改frame未任意的外部网站，因此，可以窃取和劫持要上传到谷歌服务的Google Docs截图。

漏洞产生的原因是Google Docs域名缺乏X-Frame-Options header，因此有可能修改消息的目标源(target origin)，并利用页面和frame的跨域通信来实现攻击。

该攻击是需要用户交互的，比如点击“send feedback”按钮，漏洞利用可以获取要上传的截图并窃取和发送到恶意站点。攻击者只需要将Google Docs文件嵌入到虚假/恶意网站的iframe就可以劫持feedback弹窗来重定向内容到攻击者控制的域名。

POC视频参见：https://www.youtube.com/embed/isM-BXj4_80

本文翻译自：https://thehackernews.com/2020/12/a-google-docs-bug-could-have-allowed.html

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202012/638186.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

商用一年多，5G的春天还没来，5G是真的扶不起么？

众所周知，去年11月1日，三大运营商的5G网络正式商用，从此开启了真正的5G时代。但一年多时间过去了，大家发现除了手机厂商们在不断的呐喊5G已来，赶紧换5G手机，享受5G的快感，还有运营商在不断想办法让用户升级5G之外，似乎5G的春天还没来。因为很多5G手机用户，花大价格买了5G手机，开通了5G套餐后，发现与之前的4G手机相比也并没有什么区别。再加上目前一直传出5G基站耗电大，运营商都交不起电费等言论，于是很多人表示，5G是扶不起的一代通信技术，就是手机厂商+运营商忽悠大家。那么5G真的扶不起?事实上，任何一代新通信技术的到来，都不会产生立竿见影的感知提升，比如当初3G升4G，刚开始时，似乎也没有太多感知，不就是速度快一点点嘛，但现在看来，4G相比3G可不是快了一点点，而是快了无数倍。但这个过程，并不是一个月，或一年就实现的，而是通过不断的升级，同时互联网厂商们不断的推出应用，才让用户真正的体验到了4G的快感。而5G也如此，在前期由于5G应用缺少，大部分还是4G应用，所以大家也并不会觉得5G与4G有什么不同，不过是网速快一点，正如3G升4G时的感觉一样，不过是网速快一点。 ...

2020-12-31

544

近日，McAfee 预计网络犯罪给世界经济造成的损失超过 1 万亿美元，占全球 GDP 的 1% 以上，较 2018 年的一项研究(给全球带来损失接近 6000 亿美元)增长了 50% 以上。 McAfee 高级副总裁兼首席技术官 Steve Grobman 表示：“随着技术的发展，新技术会扩大攻击面以及工作扩展到家庭和远程环境，企业受到网络攻击的严重性和频率将会持续上升”。 “尽管企业和政府都意识到了网络攻击对金钱与国家安全的影响，如果加上计划外的停机时间、调查违规的成本以及生产力下降所带来的影响损害会更大。 “鉴于全球数千亿美元的财务损失，我们需要对网络风险有全面深入的了解，并制定有效的计划来应对和预防网络事件”。网络犯罪的隐性成本知识产权和货币资产的盗窃愈演愈烈，但是网络犯罪的一些最被忽视的成本来自对公司绩效的损害。该调查显示，有 92 % 的企业认为，除了财务成本和网络事件后的工作时间损失之外，还有其他负面影响。该报告进一步探讨了网络犯罪的隐性成本以及带来的长久影响和破坏，包括：系统停机–停机是三分之二受访者公司的常见经历。2019 年停机时间最长的公司平均成本为 76...

2020-12-31

627

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。