Chrome Extensions Probe

0x01 About

编写过 Chrome 扩展的开发人员都应该清楚在 crx 后缀的包中, manifest.json 配置清单文件提供了这个扩展的重要信息,crx 后缀文件可以直接使用 unzip 解压,Windows 下的安装后解压的路径在:C:\Users\Administrator\AppData\Local\Google\Chrome\User Data\Default\Extensions ,MacOS 在:cd ~/Library/Application\ Support/Google/Chrome/Default/Extensions ,其中 manifest.json 的样例:

可以看到关于这个扩展的 content_scripts, desc, homepage, icons 等等配置信息,其中 manifest_version 字段标明现在的 rule 为 2.0 版本,在 2012 年 Chrome 便将 1.0 manifest.json 配置版本的扩展禁止新建在应用市场中,但允许更新,直到 2014 年彻底禁用所有的 version 1.0 版本扩展/应用并更新至 2.0,其中一大部分原因是由于新版规则上安全性的提升。

0x02 Manifest

  • 2.0 中关于 CSP 的强制应用,要求开发者配置 content_security_policy ,如果未设置的话则使用 Chrome 的默认 manifest csp 规则;
  • 不同于老版本的规则,crx 下的资源文件不再是默认可用(直接访问)的图像、资源、脚本。如果想让网站能够加载其资源就必须配置 web_accessible_resources 清单;
  • 删除 chrome.self API ,使用 chrome.extension 替代;

0x03 script <–> onload / onerror

在多年前的 ChromeExtensions 探测中我们可以直接探测静态资源文件来判断是否存在,在上面的更新变动中可以看到,如果访问资源则必须在 web_accessible_resources 中声明 LIST (可以使用通配符),拿 json-view 举例:

访问他们资源的 URL 格式如下:

在测试的过程中我们发现大量的扩展禁止了 iframe 内嵌访问,这里我们可以使用 script 加载页面的差异化来判断是否存在文件:

0x04 Chrome Extensions Spider

我们编写了爬虫获取整个谷歌商店中的扩展应用(id, name, starts, users, category, url),分类如下:

截至 2017年初 谷歌商店扩展应用总数量为 42658 ,我们将这些 crx 全部进行下载分析其 manifest.json 的编写规则,发现 12032 个扩展可以探测,在之后的实际测试过程中也发现探测应用的成功率为 1/3 ~ 1/4 ,比较客观,保存的 JSON 格式如下:

0x05 ProbeJS

通过编写脚本可以加载并探测本地扩展是否存在,虽然需要触发大量的请求来探测,但由于是访问本地资源其速度仍然可以接受,我们过滤出 users 1000 以上的扩展来进行筛选探测( testing 函数动态创建并删除不成功的 dom 探测节点):

via:https://www.n0tr00t.com/2017/01/09/Chrome-Extensions-Probe.html