公司上网行为管理,就用安企神软件
立即咨询谷歌的Chrome浏览器中存在安全漏洞,攻击者可利用该漏洞绕过网络的内容安全策略(CSP),进而窃取用户数据并执行流氓代码。
PerimeterX网络安全研究人员Gal Weizman表示,该漏洞编号为CVE-2020-6519,存在于Windows、Mac和安卓的Chrome、Opera和Edge浏览器中,潜在影响用户多达十亿。其中,Chrome的73版本(2019年3月)到83版本均会受到影响,84版本已在7月发布,并修复了该漏洞。Chrome浏览器拥有超过20亿用户,并且占浏览器市场的65%以上。
CSP是一种Web标准,旨在阻止某些攻击,比如跨站点脚本(XSS)和数据注入攻击。CSP允许Web管理员指定浏览器将其视为可执行脚本的有效源的域。然后,与CSP兼容的浏览器将仅执行从这些域接收的源文件中加载的脚本。
对此,Weizman在报告中表示:“CSP是网站所有者用来执行数据安全策略以防止在其网站上执行恶意影子代码的主要方法,因此当绕过浏览器执行时,个人用户数据将面临风险。”
目前,大多数网络均使用CSP策略,比如ESPN、Facebook、Gmail、Instagram、TikTok、WhatsApp、Wells Fargo和Zoom等互联网巨头。当然,也有如GitHub、Google Play商店、LinkedIn、PayPal、Twitter、Yahoo和Yandex等不会受此次漏洞的影响。
Chrome的CSP强制执行机制中存在漏洞并不直接表示网站已被破坏,因为攻击者还需要设法从该网站获取恶意脚本。网站信任的安全机制存在漏洞,安全机制原本可以对第三方脚本执行更严格的策略,但是因为漏洞会让网站认为他们是安全的而允许他们通过。
攻击者利用该漏洞获取Web服务器权限(通过暴破密码或者其他方式)并修改JavaScript利用代码。在JavaScipt中增加 frame-src或者child-src指令,攻击者利用这种方式饶过CSP策略执行、绕过网站安全规则。
经验证后,该漏洞的威胁程度为中等(6.5分),然而,因为该漏洞涉及CSP策略执行,所以影响很广。网站开发人员允许第三方脚本修改支付页面,比如知道CSP会限制敏感信息,所以破坏或者绕过CSP,便可以窃取用户敏感信息比如支付密码等。这无疑给网站用户的信息安全带来很大的风险。
该漏洞在Chrome浏览器中存在超过一年了,目前该漏洞已经修复。但是该漏洞的后续影响尚不明确,一旦遭到利用,用户数据遭窃取用于非法途径,后果将不堪设想。
在报告中还可以看到安全研究人员测试浏览器或者网站是否容易受到该漏洞影响的过程,创建一个简单的脚本,当通过devtools控制台执行该脚本时,可以测试所有这些网站,该脚本将立即通知当前的浏览器/网站是否由于CSP/Old Chrome配置错误而受到CVE-2020-6519的攻击。尝试从https://pastebin.com/raw/XpHsfXJQ正常加载外部js脚本,并加载漏洞利用程序。以下以测试后的三种结果:
浏览器和网站容易受到攻击
浏览器易受攻击,但网站不易受攻击
浏览器不容易受到攻击
因此,用户可从以下几个方面做好安全防护措施:
1.确保CSP策略定义正确。考虑添加其他安全性层,例如nonces或hashs,这将需要在一些服务器端实现
2.仅CSP对大多数网站而言还不够,因此,请考虑添加其他安全层。考虑基于JavaScript的影子代码检测和监视,以实时缓解网页代码注入
3.确保Chrome浏览器版本为84或更高版本。
怎么监控员工上班情况?2024企业管理的四种方法,老板们不容错过
怎么监控员工上班情况?2024企业管理的四种方法,老板们不容错过员工上班在干什么?摸鱼?打游戏?老板该怎么管理?如何才能监视怎么监控员工上班情况?监控员工上班情况可以通过多种方式实现,但重要的是要确保这些措施既合法又合规,同时尊重员工的隐私权。以下是一些建议的方法:一、制定明确的行为规范与奖惩制度1、制定行为规范: 企...
怎么监控员工上班情况?快速监控员工状态
怎么监控员工上班情况?快速监控员工状态在企业管理中,如何有效监控员工上班情况,确保工作效率与团队协作,是每位老板都需面对的课题。本文为您揭秘五招快速监控员工状态的实用技巧,不仅能帮助您实时掌握员工动态,还能提升整体管理效率。作为老板,掌握这些技巧,将让您在企业管理中游刃有余,轻松应对各种挑战。一、使用安企神软件实时监控...
安企神桌管软件:提升企业管理效率的全能助力
安企神桌管软件:提升企业管理效率的全能助力在当今竞争激烈的商业环境中,企业必须不断优化管理和运营流程,以提高效率和盈利能力。安企神桌管软件正是这样一款面向中小企业的管理工具,能够帮助企业在多方面提升综合管理水平。本文将详细探讨安企神桌管软件给企业带来的多重价值。一、全方位的管理功能安企神桌管软件是一款集成了多种管理功能...
安企神:揭开终端安全管理软件的神秘面纱
安企神:揭开终端安全管理软件的神秘面纱在数字化日益普及的今天,企业的网络安全问题愈发显得重要。数据泄露、网络攻击等事件层出不穷,如何保障企业内部信息的安全性成为众多企业关心的焦点。安企神终端安全管理软件应运而生,作为一款专业的安全管理工具,它的功能与优势备受关注。本文将全面揭秘安企神软件的核心功能、应用场景及其在终端安...
安企神文件加密软件的功能优势全面解析
安企神文件加密软件的功能优势全面解析在信息化飞速发展的今天,数据安全问题愈发凸显。尤其是企业在日常运营中,面对海量敏感信息,如何有效保护这些信息已成为一个不容忽视的课题。安企神文件加密软件作为一款专业的数据保护工具,凭借其独特的功能与优势,正逐渐成为市场的热门选择。本文将详细探讨安企神文件加密软件的各项功能及其带来的实...