CN102662840A - Firefox浏览器扩展行为自动检测系统及方法 - Google Patents

Abstract

本发明属于软件功能检测技术，公开了一种Firefox浏览器扩展行为自动检测系统，利用插桩的Firefox浏览器抽取扩展行该系统包括浏览器插桩模块(101)、扩展下载模块(102)、测试站点模块(103)、扩展信息提取模块(104)、事件模拟模块(105)、注入对象跟踪模块(106)以及控制模块(107)，扩展下载储存库(108)，与现有技术相比，本发明是为了能够对现有浏览器扩展的行为有所了解，进而提出适当的安全策略以降低浏览器扩展的使用风险，希望借此能够让用户在应用扩展时，在保证安全的前提下，拥有较大的自由度。为浏览器内部扩展是否具有安全威胁提供有效的判断依据，也就是说，能够在安全的基础上充分发挥Firefox拥有强大扩展功能且人性化程度高的优势。

Description

Firefox浏览器扩展行为自动检测系统及方法

技术领域

本发明涉及软件功能检测技术，特别是涉及一种浏览器功能的检测方法。

背景技术

随着计算机和Internet的普及，浏览器已经成为绝大部分计算机用户搜索和获取信息的重要工具。与此同时，浏览器自身在功能上也发生了极大的变化，例如绝大多数主流浏览器都已支持扩展机制来增强浏览器自身的功能。浏览器扩展机制是一种允许为浏览器添加个性化功能的机制。通过该机制，浏览器扩展为浏览器添加了新的功能，允许用户可以通过定制应用程序来满足其自身的个性化需求。

然而，这一机制在极大地增强了浏览器表现能力的同时，也使浏览器暴露在了更多的攻击之下。具体来说，浏览器的扩展机制在为用户带来良好体验的同时，也为用户使用浏览器增添了更多的不安全因素。例如，Liverani对已经发现的恶意或有安全漏洞的扩展(如Coolpreview2.7、skype3.8、UpdateScanner3.0等)进行了总结，并详细分析了其原因及攻击方法。文献将通过扩展攻击Firefox的方法分为三种：跨站脚本攻击(XSS)、安装恶意的扩展以及修改已安装的扩展，同时识别出五种常见的攻击场景：创建按键监听器、损坏访问的网页、钓鱼攻击、盗取密码以及将Firefox作为僵尸。此外，安全评估组织Security-Assessment.com对专门针对Firefox扩展进行跨站脚本攻击进行了详细总结。在其发布的白皮书中，详细总结了八类可能被攻击者通过扩展进行XCS(Cross Context Scripting)攻击的缺陷。同时，在其另一份白皮书中，对常见的攻击Firefox扩展的恶意代码进行了总结，如访问本地文件、远程代码执行以及盗取密码等。

针对Firefox浏览器扩展安全问题，Mozilla采取了多种措施来缓和这一安全问题，具体包括：(1)签名机制：开发者可以对扩展进行签名，用户在安装扩展时对签名进行校验。(2)审查机制：Mozilla对新提交的扩展在发布之前要进行一系列审查，对于未通过的扩展不予发布，从而一定程度降低了恶意扩展流入最终用户的可能性。(3)JavaScript沙窗：JavaScript沙窗机制使得扩展与网页之间没有直接的信息交互。尽管上述机制能够在一定程度上缓和浏览器扩展所引发的安全问题，但是由于签名机制并不是强制的、审查机制经常存在人为疏漏以及JavaScript沙窗机制又可以被轻易绕过，所以现有技术中的这些机制并不能满足用户对于浏览器扩展的安全需求。

发明内容

基于上述现有技术存在的问题，本发明提出了一种Firefox浏览器扩展行为自动检测系统及方法，通过对浏览器扩展的行为进行自动检测和记录，以便能够发现并规避浏览器扩展的危险或不良行为。

本发明提出了

1.一种Firefox浏览器扩展行为自动检测系统，利用插桩的Firefox浏览器抽取扩展行该系统包括浏览器插桩模块(101)、扩展下载模块(102)、测试站点模块(103)、扩展信息提取模块(104)、事件模拟模块(105)、注入对象跟踪模块(106)以及控制模块(107)，扩展下载储存库(108)，其中：

浏览器插桩模块(101)，通过将动态链接库中的各钩子函数插入到浏览器源代码各扩展行为操作开始的位置以截获不同的浏览器内部扩展行为事件；

扩展下载模块(102)，用于将适合的Firefox扩展从Mozilla的官方网站下载到本地系统，该模块流程包括以下步骤：访问Mozilla，当监测到有未访问的扩展目录时，进行扩展目录访问；当监测到该扩展目录中有未访问的扩展时，访问该扩展，获得该扩展的元信息，判断该元信息是否包含下载要求，对于满足下载要求的扩展进行下载；

测试站点模块(103)，用于访问被测站点并模拟浏览器用户行为；

扩展信息提取模块(104)：用于识别浏览器界面元素中哪些是由待测扩展填加的，并将其位置信息传递给事件模拟模块以触发该元素上的事件；

事件模拟模块(105)：用于模拟被测浏览器操作的用户行为以触发扩展中相应的事件处理，该模块一方面接受来自扩展信息提取模块的指令然后模拟用户的相应行为，另一方面为控制模块提供关于浏览器窗口的相关信息；

注入对象跟踪模块(106)，设置于在浏览器内部，用于跟踪、识别注入到网页中的代码，该模块在扩展调用浏览器提供的方法时识别并记录这一注入的路径信息，然后通过这一信息确定该扩展行为间接地触发了哪些其他的扩展行为；

以及控制模块(107)，用于连接系统中的其他模块并协调整个测试过程，安装/卸载扩展，启动/关闭浏览器，配置/清除测试环境，协调整个测试过程，提供相关的机制确保系统稳定运行。该模块的控制流程包括以下步骤：访问扩展下载储存库108，对于储存库中未测试的扩展，在本地安装扩展，配置测试环境，重启浏览器，浏览器检测并记录扩展行为，清除测试环境，卸载该扩展。

所述扩展行为包括直接行为和间接行为。

所述浏览器内部扩展行为事件包括三类事件：浏览器接口的访问、JavaScript函数的调用以及事件监听器的添加与删除。

所述配置测试环境，具体包括以下操作：

提取关于扩展的信息，包括名称、标识以及安装路径；然后将这些信息记录到配置文件中以备浏览器在监听扩展行为时使用。

本发明还提出了一种Firefox浏览器扩展行为自动检测方法，其特征在于，该方法包括以下步骤：

访问Mozilla，监测扩展目录和扩展目录中的扩展，访问满足要求的扩展，获取扩展的元信息，并对满足下载要求的扩展进行下载，存于扩展本地库；

访问扩展本地库；

对于储存库中未测试的扩展，在本地安装扩展；

配置测试环境；

在开始检测浏览器扩展行为之前重新启动浏览器；

利用插桩在浏览器代码中的钩子函数，截获浏览器内部扩展行为事件；

浏览器检测并记录扩展行为，清除测试环境，卸载该扩展。

所述扩展行为包括直接行为和间接行为。

所述浏览器内部扩展行为事件包括三类事件：浏览器接口的访问、JavaScript函数的调用以及事件监听器的添加与删除。

所述配置测试环境，具体包括以下操作：

提取关于扩展的信息，包括名称、标识以及安装路径；然后将这些信息记录到配置文件中以备浏览器在监听扩展行为时使用。

与现有技术相比，本发明是为了能够对现有浏览器扩展的行为有所了解，进而提出适当的安全策略以降低浏览器扩展的使用风险，希望借此能够让用户在应用扩展时，在保证安全的前提下，拥有较大的自由度。为浏览器内部扩展行为是否具有安全威胁提供有效的判断依据，也就是说，能够在安全的基础上充分发挥Firefox拥有强大扩展功能且人性化程度高的优势。

附图说明

图1为Fire Fox浏览器扩展行为自动测试系统架构图；

图2为本发明的插桩操作编码示意图；

图3为本发明的下载模块工作流程；

图4为本发明的控制模块工作流程图。

具体实施方式

下面结合附图和具体实施例对本发明的技术方案进行详细描述。

本发明通过对Firefox浏览器为扩展提供的接口进行分析，以及对Firefox浏览器扩展的行为进行抽象和分类，实现该浏览器扩展行为的自动检测和记录；分类信息作为对现已存在的Fire Fox浏览器扩展行为进行大规模自动检测的依据。

如图1所示的Firefox浏览器扩展行为自动检测系统，该系统包括浏览器插桩模块101、扩展下载模块102、测试站点模块103、扩展信息提取模块104、事件模拟模块105、注入对象跟踪模块106以及控制模块107，扩展下载储存库108；系统的核心是利用插桩的Firefox浏览器抽取扩展的行为信息(包括直接行为和间接行为)并将其记录在扩展下载储存库108中，其中：

浏览器插桩模块101：插桩模块设计为浏览器的一个动态链接库，库中包含了一系列设计良好的钩子函数，通过将其插入到浏览器源代码的适当位置来截获不同的浏览器内部事件。该模块共截获了三类浏览器的内部事件：浏览器接口的访问、JavaScript函数的调用以及事件监听器的添加与删除。并通过这些信息来大致刻画出浏览器扩展的行为。如图2所示，为插桩模块在浏览器源码中插入钩子函数的编码截图；

扩展下载模块102：用于将适合的Firefox扩展从Mozilla的官方网站下载到本地系统。为了使待测扩展能够尽可能地暴露更多的行为，测试过程中浏览器会自动访问本文设计的一个测试网站，并在事件模拟模块以及扩展信息抽取模块的帮助下自动模拟用户的一系列行为；该模块的详细工作流程如图3所示，该流程包括以下步骤：访问Mozilla浏览器，当监测到有未访问的扩展目录时，进行扩展目录访问；当监测到该扩展目录中有未访问的扩展时，访问该扩展，获得该扩展的元信息，判断该元信息是否包含下载要求，对于包含下载要求的扩展进行下载；

测试站点模块103：用于访问被测站点并模拟一些用户行为，以使得被测浏览器的扩展行为尽可能地暴露出来；

扩展信息提取模块104：主要用于识别浏览器界面元素中哪些是由待测扩展填加的，并将其位置信息传递给事件模拟模块以触发该元素上的事件。该模块是一个Firefox扩展；

事件模拟模块105：用于模拟被测浏览器操作的用户行为以触发扩展中相应的事件处理。它一方面接受来自扩展信息提取模块的指令然后模拟用户的相应行为，另一方面为控制模块提供关于浏览器窗口的相关信息；

注入对象跟踪模块106：设置于在浏览器内部，用于跟踪、识别注入到网页中的代码。该模块在扩展调用浏览器提供的方法时识别并记录这一注入的路径信息，然后通过这一信息确定该扩展间接地触发了哪些行为；

最后，控制模块107：用于协调整个测试过程，该模块主要负责连接系统中的其他模块并协调整个测试过程。其主要工作有安装/卸载扩展，启动/关闭浏览器，配置/清除测试环境，协调整个测试过程，提供相关的机制确保系统稳定运行。该模块的工作流程如图4所示。该控制流程包括以下步骤：访问扩展下载储存库108，对于储存库中未测试的扩展，在本地安装扩展，配置测试环境，重启浏览器，浏览器检测并记录扩展行为，清除测试环境，卸载该扩展。

以下为本发明的具体实施例：

1、在扩展下载部分，

考虑到系统的效率及复杂性，在对扩展进行测试之前将所有的可测扩展都下载到了本地系统。以扩展CoolPreviews为例，它的功能是使得用户无须离开当前页面就可以预览本页中链接或图片的内容。

2、在配置测试环境部分，

将下载到本地的CoolPreviews 2.7.2安装到系统中进行测试。在扩展安装之后，系统会提取关于CoolPreviews 2.7.2的一系列信息，如名称、标识以及安装路径等，然后将这些信息记录到配置文件中已备浏览器在监听扩展行为时使用。然后，在真正开始监听浏览器扩展行为之前重新启动浏览器。

3、在监测记录浏览器扩展行为部分，

就本实施例来说，在浏览器重启后，浏览器会从配置文件中读入关于CoolPreviews 2.7.2的信息。一旦浏览器获得了这些信息之后，行为监控过程将自动启动。为了能够使被测扩展的行为能够更多地暴露出来，系统首先会用浏览器访问测试网站，并且模拟网页中的各种事件，这些事件主要有点击链接、键盘输入以及表单提交等。然后系统会遍历浏览器的界面元素，识别哪些界面元素(如菜单项、上下文菜单以及状态栏)是由被测扩展填加的，并触发这些界面元素上的事件。若事件触发之后有新的窗口被弹出，系统会将其关闭。在本例中，模拟网页可以调用XPCOM组件提供的nslLocalFile以及nslProcess接口来执行任意的本地程序，这是CoolPreviews 2.7.2的漏洞。

4、在清除测试环境部分，

关闭浏览器，卸载CoolPreviews 2.7.2，清除相关的配置信息。

在上述所有过程都结束之后，针对一个扩展的测试过程就基本结束。

Claims (8)

1.一种Firefox浏览器扩展行为自动检测系统，利用插桩的Firefox浏览器抽取扩展行该系统包括浏览器插桩模块(101)、扩展下载模块(102)、测试站点模块(103)、扩展信息提取模块(104)、事件模拟模块(105)、注入对象跟踪模块(106)以及控制模块(107)，扩展下载储存库(108)，其中：

浏览器插桩模块(101)，通过将动态链接库中的各钩子函数插入到浏览器源代码各扩展行为操作开始的位置以截获不同的浏览器内部扩展行为事件；

扩展下载模块(102)，用于将适合的Firefox扩展从Mozilla的官方网站下载到本地系统，该模块流程包括以下步骤：访问Mozilla，当监测到有未访问的扩展目录时，进行扩展目录访问；当监测到该扩展目录中有未访问的扩展时，访问该扩展，获得该扩展的元信息，判断该元信息是否包含下载要求，对于满足下载要求的扩展进行下载；

测试站点模块(103)，用于访问被测站点并模拟浏览器用户行为；

扩展信息提取模块(104)：用于识别浏览器界面元素中哪些是由待测扩展填加的，并将其位置信息传递给事件模拟模块以触发该元素上的事件；

事件模拟模块(105)：用于模拟被测浏览器操作的用户行为以触发扩展中相应的事件处理，该模块一方面接受来自扩展信息提取模块的指令然后模拟用户的相应行为，另一方面为控制模块提供关于浏览器窗口的相关信息；

注入对象跟踪模块(106)，设置于在浏览器内部，用于跟踪、识别注入到网页中的代码，该模块在扩展调用浏览器提供的方法时识别并记录这一注入的路径信息，然后通过这一信息确定该扩展行为间接地触发了哪些其他的扩展行为；

以及控制模块(107)，用于连接系统中的其他模块并协调整个测试过程，安装/卸载扩展，启动/关闭浏览器，配置/清除测试环境，协调整个测试过程，提供相关的机制确保系统稳定运行。该模块的控制流程包括以下步骤：访问扩展下载储存库108，对于储存库中未测试的扩展，在本地安装扩展，配置测试环境，重启浏览器，浏览器检测并记录扩展行为，清除测试环境，卸载该扩展。

2.如权利要求1所述的Firefox浏览器扩展行为自动检测系统，其特征在于，所述扩展行为包括直接行为和间接行为。

3.如权利要求1所述的Firefox浏览器扩展行为自动检测系统，其特征在于，所述浏览器内部扩展行为事件包括三类事件：浏览器接口的访问、JavaScript函数的调用以及事件监听器的添加与删除。

4.如权利要求1所述的Firefox浏览器扩展行为自动检测系统，其特征在于，配置测试环境，具体包括以下操作：

提取关于扩展的信息，包括名称、标识以及安装路径；然后将这些信息记录到配置文件中以备浏览器在监听扩展行为时使用。

5.一种Firefox浏览器扩展行为自动检测方法，其特征在于，该方法包括以下步骤：

访问Mozilla，监测扩展目录和扩展目录中的扩展，访问满足要求的扩展，获取扩展的元信息，并对满足下载要求的扩展进行下载，存于扩展本地库；

访问扩展本地库；

对于储存库中未测试的扩展，在本地安装扩展；

配置测试环境；

在开始检测浏览器扩展行为之前重新启动浏览器；

利用插桩在浏览器代码中的钩子函数，截获浏览器内部扩展行为事件；

浏览器检测并记录扩展行为，清除测试环境，卸载该扩展。

6.如权利要求4所述的Firefox浏览器扩展行为自动检测方法，其特征在于，该方法包括以下步骤：所述扩展行为包括直接行为和间接行为。

7.如权利要求4所述的Firefox浏览器扩展行为自动检测方法，其特征在于，所述浏览器内部扩展行为事件包括三类事件：浏览器接口的访问、JavaScript函数的调用以及事件监听器的添加与删除。

8.如权利要求4所述的Firefox浏览器扩展行为自动检测方法，其特征在于，所述配置测试环境的步骤，具体包括以下操作：

提取关于扩展的信息，包括名称、标识以及安装路径；然后将这些信息记录到配置文件中以备浏览器在监听扩展行为时使用。

Images