新闻链接：119K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3#2Q4x3X3g2T1L8$3u0S2L8#2)9J5k6e0x3$3x3q4)9J5k6h3y4F1i4K6u0r3L8X3g2%4M7#2)9J5c8X3q4H3M7r3c8W2N6r3q4A6L8q4)9J5c8U0t1H3z5e0y4Q4x3X3g2Z5N6r3#2D9
新闻时间：2015-09-21 11:44:19
新闻正文：
点击或仅仅滚动鼠标是怎么使浏览器崩溃的?

你可以用一个简单的短短一行URL使谷歌Chrome浏览器的最新版本崩溃。

只需滚动鼠标移到浏览器的一个页面上,然后从另一个应用程序,比如一个电子邮件客户端启动它,或者把它粘贴到地址栏,这些操作会使标签或者整个浏览器死掉。

这会是完美的捉弄朋友的方法,只需将其发送到他们电子邮件或短信。

该漏洞于上周末前辈一个叫做Andris Atteka的家伙发现,他在博客中讲述了程序中的错误,并提交了漏洞报告如下。

如果你给某人发送URL:3d2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6@1i4K6u0W2j5$3!0Q4x3V1k6$3K9e0m8W2x3e0m8u0c8f1k6t1i4K6u0o6i4@1f1^5i4@1u0r3i4K6V1&6i4@1f1@1i4@1u0o6i4K6W2m8i4@1f1@1i4@1u0p5i4@1u0r3i4@1f1@1i4@1u0n7i4K6V1$3i4@1f1%4i4K6W2m8i4K6R3@1b7$3S2J5L8$3#2W2i4@1f1$3i4@1t1#2i4K6S2r3i4@1f1^5i4@1p5%4i4K6R3^5i4@1f1#2i4K6V1&6i4@1p5^5i4@1f1$3i4K6R3^5i4K6V1$3c8%4c8S2L8r3E0Q4c8e0N6Q4b7V1c8Q4z5e0q4Q4c8e0W2Q4b7e0q4Q4b7U0g2Q4c8e0N6Q4z5o6W2Q4z5o6S2Q4c8e0g2Q4b7U0c8Q4b7e0W2Q4c8e0k6Q4b7V1q4Q4z5o6y4Q4c8e0y4Q4z5o6m8Q4z5o6t1`.

——mdowd(@mdowd)2015年9月20日

以下是两种形式的URL截图——我们不会把它们以文字形式放进这篇文章中来的,因为那会使你的标签崩溃,如果你在用Chrome浏览器而且恰巧不小心把鼠标指针移到那里。那不会有好事发生的。

我们已经在OS X El Capitan和Windows 10上的Chrome 45.0.2454.93版本分别进行了测试,结果显示都会受影响。Chromebooks,还有基于Chromium 45的Opera 32.0也会被这种URL搞崩溃。似乎只有安卓上的Chrome浏览器没事。     

1
2
http://a/%%300
file:///%%300
Atteka 在博客中还写到:“不幸的是,我没有得到任何报酬,好像就只有这么一个漏洞似的,不过,谷歌总是这样,做个安全的软件比发现软件其中的问题还难。”

更酷的是,这个漏洞会触发一个致命的异常(一个SIGTRAP),而不是通常的内存访问冲突错误导致的缓冲区溢出,堆损坏,或其他类似的发布中代码中产生的。这意味着可执行文件中的某部分跑到了程序员从没想到普通用户会点击的地方。事实证明,代码中的错误真够古老的。

这是OS X中的崩溃信息:

1
2
3
4
5
6
Exception Type:  EXC_BREAKPOINT (SIGTRAP)
Exception Codes: 0x0000000000000002, 0x0000000000000000
Thread 0 Crashed:: CrBrowserMain  Dispatch queue: com.apple.main-thread
0   com.google.Chrome.framework 0x0000000102b18a45 0x102500000 + 6392389
1   com.google.Chrome.framework 0x0000000105900595 0x102500000 + 54527381
2   com.google.Chrome.framework 0x00000001059083d2 0x102500000 + 54559698
我们来详细解释一下:

URL结尾的%%300被换成%00 (0x30是'0'的ASCII码。%%300是原'%'、转换后的'0'、原'0'组成的字符串。放在一起就是'%00'。)这就在网址末端插入了一个空字节。

这个URL被GURLToDatabaseURL()传出,它会调用ReplaceComponents()。

这会导致URL再次被处理,打出空字节。从而被认为不应该出现在那里,然后被标记成无效。

由于期待URL仍旧有效,代码路径返回到GURLToDatabaseURL(),调用spec()。

但是意料之外的,这个URL是无效的,所以这个函数访问了一个DCHECK()。

当将鼠标悬停在该URL,一个被标记无效的网址上时,它将被发送到预期中的唯一有效网址——导致标签死掉。

关于开发人员如何计划来解决Chromium漏洞查找中的问题还会有更多的讨论。情况类似于6月份困扰Skype的那个问题。

“由于这个漏洞,会发生各种各样的崩溃。这是个烂摊子。”几个小时前Chromium项目成员叹气道。该团队正在研究解决方法,敬请关注。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课