CN108256338B

CN108256338B - 一种基于扩展API改写的Chrome扩展敏感数据跟踪方法

Info

Publication number: CN108256338B
Application number: CN201810160508.6A
Authority: CN
Inventors: 王伟平; 刘小玄; 张雨清; 宋虹; 王建新
Original assignee: Central South University
Current assignee: Central South University
Priority date: 2018-02-27
Filing date: 2018-02-27
Publication date: 2021-04-27
Anticipated expiration: 2038-02-27
Also published as: CN108256338A

Abstract

本发明提出了一种基于扩展API改写的Chrome扩展敏感数据跟踪方法，通过分析Chrome扩展API的输入输出数据关系，分别对扩展中的数据获取API、通信API、输出API以及与数据流无关API定义了不同的改写规则，使得改写后的扩展只包含原生的JavaScript函数，同时保持原扩展的输入输出数据流关系。进而再采用已有的JavaScript数据流跟踪方法进行跟踪，同时动态生成测试页面来有效触发扩展行为。测试结果表明本发明可有效覆盖扩展中的数据流通路以及有效触发扩展行为，从而检测出Chrome扩展中的敏感数据传输路径。

Description

一种基于扩展API改写的Chrome扩展敏感数据跟踪方法

技术领域

本发明涉及网络安全领域，特别是一种基于扩展API改写的Chrome扩展敏感数据跟踪方法。

背景技术

随着浏览器成为用户访问互联网的平台，为了帮助浏览器处理各种新出现的文件和事件，Chrome浏览器引入扩展机制使浏览器功能更加丰富，界面更加美观。然而扩展机制拥有的高权限使大量的用户隐私信息被访问，越来越多的攻击者利用浏览器扩展窃取用户隐私数据，包括浏览器cookie、浏览历史记录、页面输入信息等；随之而来的敏感数据泄露问题逐渐被人们所关注。

近几年，国内外很多研究学者针对浏览器扩展中存在的安全问题进行了大量研究工作。在浏览器扩展敏感数据检测方面，按照研究机制可以分为静态检测方法和动态检测方法。但在检测敏感数据泄露方面仍有不足：首先静态的检测方法无法应对JavaScript语言动态生成代码的特性，而这种特性又是最容易造成安全威胁的；其次通过监控扩展在JavaScript代码层行为的动态检测方法只将对页面中敏感数据的访问定义为恶意行为，没有对其进行数据流的分析，不能准确的分析敏感数据的异常流向；最后由于扩展JavaScript代码中会调用扩展API(Application Program Interface，应用程序接口)相关的方法，而这些方法是谷歌为扩展提供的特有库函数，实现在浏览器扩展环境中，现有的JavaScript动态污点跟踪技术只能跟踪原生JavaScript函数，没有对谷歌为扩展提供的库函数进行污点处理，对借助于扩展进行敏感数据泄露的行为无法检测。

因此，针对上述问题，有必要提供一种Chrome扩展敏感数据跟踪方法。

发明内容

本发明所要解决的技术问题是，提供一种基于扩展API改写的Chrome扩展敏感数据跟踪方法，使得改写后的扩展代码中只包含原生JavaScript函数，从而能够利用JavaScript动态污点跟踪方法进行跟踪。

发明的技术解决方案如下：

一种基于扩展API改写的Chrome扩展敏感数据跟踪方法，包括以下步骤：

步骤1：定义扩展中的Source(污点源)和Sink(污点库)；

将扩展Source和扩展Sink分别定义为扩展中可能获取敏感数据的输入点和可能将敏感数据外传的输出点；

通过分析扩展API的输入输出数据关系，扩展Source包括获取当前页面DOM(Document Object Model，文档对象模型)状态的DOM API以及获取浏览器中敏感数据的扩展API；扩展Sink包括发送敏感数据给第三方服务器、存储和下载的扩展API。

步骤2：根据Chrome官方提供的文档说明，通过分析扩展API的输入输出数据关系，将扩展API分成获取数据API、输出相关API、通信函数API和其他功能API四类；定义四类扩展API的改写规则，使得改写后的API只包含原生JavaScript函数，同时保持改写前API的输入输出数据流关系；依据改写规则对待测扩展中的扩展API进行改写；

步骤3：依据待测扩展生成动态测试页面，该页面内容由三部分组成，包括待测扩展所指定的HTML(Hyper Text Markup Language，超文本标记语言)代码、待测扩展自带的HTML代码以及待测扩展运行所需的特定DOM元素和常见DOM元素，用于触发待测扩展与页面的交互行为；

步骤4：利用现有JavaScript动态污点跟踪技术对改写后的待测扩展添加污点传输标记(用于进行动态污点跟踪)，在生成的动态测试页面中引入并运行改写后的待测扩展的JavaScript代码，动态污点跟踪工具将根据污点传输标记记录敏感数据的输入和输出路径，从而检测出从Source到Sink是否存在敏感数据通路。

本发明的原理为：

(1)Chrome扩展的数据流通路分析

Chrome扩展主要基于JavaScript语言实现，是压缩在一起的一组文件，最重要的是内容脚本、扩展核心两个部分。这两部分能获取的权限也不相同，扩展核心一直在后台运行，有权访问Chrome的原生API，如获取书签等浏览器数据，但是不能直接访问页面中的数据。内容脚本根据manifest文件中声明的匹配规则注入到相应的页面，对页面内DOM元素具有完全的访问权限，共享相同的DOM数据。但是这两部分可以通过消息通信机制间接地传递数据，详细的Chrome扩展工作过程可能的数据流传输关系如图1所示，图中①是内容脚本获取页面内容；图中④是扩展核心借助于扩展API获取浏览器相关信息的通道。内容脚本和扩展核心借助扩展的消息通信API完成数据的相互传递关系(对应于图1中的③和⑥)，同时两者分别有不同的外传方法，可以将数据或传给第三方服务器、或下载存储到本地或存储于DOM结点等，分别对应于图1中的②和⑤。

攻击者利用Chrome扩展在从获取敏感信息到泄露出去的过程中具有多种不同的数据流外传通路，例如扩展核心通过扩展API获取到浏览器历史数据(图1中的④)，利用消息通信机制将数据传递给内容脚本(图1中的⑥)，内容脚本再将其发送给攻击者的服务器(图1中的②)。

图1中的路径经过组合有六种不同的数据流通路，具体如表1所示。根据是否利用扩展的消息传递机制，可将其分为单脚本和跨脚本两类泄露通路，前者只利用内容脚本或背景页面进行数据的获取和输出，后者通过内容脚本和扩展核心的合作进行数据的获取和输出。

表1扩展中敏感数据泄露路径

(2)基于扩展API改写的Chrome扩展敏感数据跟踪方法

步骤1：定义扩展Source和扩展Sink；

步骤1.1：定义扩展Source

扩展Source为能够获取用户敏感数据的API，包括能够改变当前页面DOM状态的DOM API和获取浏览器中敏感数据的扩展API，如表2所示。

表2扩展Source

步骤1.2：定义扩展Sink

扩展Sink为将发送敏感数据给第三方服务器、存储和下载的API，具体如表3所示。

表3扩展Sink

步骤2：定义四类扩展API的改写规则，依据规则对待测扩展中的API进行改写，从而使待测扩展只包含原生JavaScript函数；

根据Chrome官方提供的文档说明，通过分析扩展API的输入输出数据关系，将扩展API分成获取数据API、输出相关API、通信函数API和其他功能API四大类。获取数据API指能获取到用户倾向或个人设置相关数据的扩展API，如获取历史记录的chrome.history；输出相关API指能将数据发送到第三方服务器、存储或下载的扩展API，如将数据进行存储的chrome.storage；通信函数API指实现内容脚本和扩展核心消息通信、进行数据传递的API，通信函数API都是成对存在的，发送函数和接收函数分别位于扩展不同脚本中；其他功能API指不涉及对数据相关操作的API，如设置字体属性等API，此类API没有数据的流入与流出。

步骤2.1：获取数据API改写

获取数据API通常形如chrome.*.*(a,b)，其中，*表示通配符，参数a表示对象，参数b表示回调函数。如图2左是用于获取用户第一次访问https://example.com时间的获取数据API。改写规则如下：

(i)用function chrome_*_*(a,b)替换chrome.*.*(a,b)；

(ii)根据chrome官方文档说明，设定a对象的相关属性值；

(iii)在function chrome_*_*(a,b)中调用b(a)。

如图2所示，chrome.history.getVisits(a,b)改写后变为原生JavaScript函数function chrome_history_getVisits(a,b)。

步骤2.2：输出相关API改写

输出相关API的改写就是将chrome.*.*(data)改写为function chrome_*_*(data)，其中，*表示通配符。运行时将通过判断data是否携带污点标记来确定敏感数据是否输出。如图3是此类API改写的一个示例，①是改写前的扩展特有输出相关API，②是API改写成原生JavaScript函数后的形式，①中要输出的敏感数据是输出函数②的参数。

步骤2.3：通信函数API改写

图4是通信函数API的改写示例，其中虚线左边是改写前位于扩展中的通信函数，其中A是发送函数，B是接收函数，虚线右边是改写成原生JavaScript函数后的形式C。改写规则如下：

(i)提取通信接收函数chrome.*.*.addListener(*表示通配符)中的回调函数，生成新的原生JavaScript通信接收函数onMessage()。即找到图4的B中接收函数的b部分，生成C中的①。

(ii)用function chrome_*_*替换A中chrome.*.*，在function chrome_*_*内调用onMessage(a)。即如图4的C中的②为改写后的消息发送函数function chrome_runtime_sendMessage()，在函数中直接调用onMessage()，原A中的a就是onMessage()的参数。

步骤2.4：其他功能API改写

其他功能API的改写就是将原有的chrome.*.*()替换成chrome_*_*()。如图5所示，①是改写前的扩展特有其他功能的API，②是该API改写之后的原生JavaScript函数。

步骤3：依据待测扩展，生成动态测试页面代码，用于触发扩展与页面的交互行为；

构造满足扩展交互的动态测试页面，使该页面尽可能覆盖更多的执行路径，触发扩展中更多的功能。

步骤3.1：获取Chrome扩展配置文件中指定的某页面代码，构成动态测试页面的第一部分；

步骤3.2：获取Chrome扩展中所有的HTML文件源码，构成动态测试页面的第二部分；

步骤3.3：根据Chrome扩展运行需要，动态添加所需的特定页面元素和常见的页面元素，如文本、表单、表格、图片等页面元素。

步骤4：利用现有JavaScript动态污点跟踪技术对改写后的待测扩展添加污点传输标记，运行生成的动态测试页面，根据污点传输标记，动态污点跟踪工具将记录敏感数据输入和输出路径，从而检测出从Source到Sink是否存在敏感数据通路。

有益效果：

本发明对Chrome扩展的数据流通路进行了详细分析。

本发明针对现有JavaScript动态污点跟踪技术不能处理扩展API的问题，设计并实现了一种基于扩展API改写的Chrome扩展敏感数据跟踪方法，根据Chrome扩展API的输入输出数据关系，分别对扩展中的数据获取API、通信API、输出API以及与数据流无关API做了不同的改写处理，改写后的扩展仅包含了原生的JavaScript函数，同时可以保持原扩展的输入输出数据流关系，进而采用已有的JavaScript数据流跟踪方法，利用动态生成的测试页面来有效触发扩展行为，实现了Chrome扩展敏感数据的跟踪。测试结果表明本发明可有效覆盖扩展中的数据流通路以及有效触发扩展行为，从而检测出Chrome扩展中的敏感数据传输路径。

附图说明

图1为Chrome扩展数据泄露通路图；

图2为获取数据API改写示例图；

图3为输出相关API改写示例图；

图4为通信函数API改写示例图；

图5为其他功能API改写示例图；

图6为基于扩展API的Chrome扩展敏感数据跟踪流程图。

具体实施方式

以下将结合附图和具体实施例对本发明做进一步详细说明：

实施例1：

Chrome扩展中的JavaScript代码可能调用浏览器提供给扩展的特有API接口函数，现有的污点数据跟踪技术没有对这部分库函数进行污点处理，因此无法对扩展进行数据流跟踪分析。

为此，本发明的实施例提出了一种基于扩展API改写的Chrome扩展敏感数据跟踪方法，能够使改写后的扩展保持原有的输入输出数据流关系且能用现有的JavaScript动态污点跟踪技术对Chrome扩展进行数据流跟踪分析。

图6是本发明一种基于扩展API改写的Chrome扩展敏感数据跟踪流程示意图，具体步骤如下：

步骤1：定义扩展中的Source和Sink；

通过分析扩展的输入输出关系，扩展Source包括获取当前页面DOM(DocumentObject Model，文档对象模型)状态的DOM API以及获取浏览器中敏感数据的扩展API；扩展Sink包括发送敏感数据给第三方服务器、存储和下载的扩展API；

完成后即可对Chrome扩展的敏感数据进行动态跟踪分析。

本发明在不改变原有扩展中数据流关系的前提下，通过改写扩展的API实现了一种面向扩展敏感数据跟踪的方法，能够有效地进行Chrome扩展动态敏感数据跟踪。

实施例2：

本实施例说明上述方法在实际应用中的作用。对谷歌应用商店随机选取的414个Chrome扩展进行了测试，检测出16个含有敏感数据泄露行为的通路，分析结果如表4所示。

表4具有敏感数据泄露通路的扩展分析

从表4的实验结果表明本发明可以有效地跟踪和检测Chrome扩展中敏感数据泄漏方式和泄漏通路。

尽管已经示出和描述了本发明的实施例，本领域的普通技术人员可以理解：本发明的范围由权利要求及其等同方案限定，在不脱离本发明的原理和宗旨的情况下可以对上述实施例进行多种变化、修改、替换和变型，而这些变化、修改、替换和变型均应在本发明的保护范围之内。

Claims

1.一种基于扩展API改写的Chrome扩展敏感数据跟踪方法，其特征在于，包括以下步骤：

步骤1：定义扩展中的Source和Sink；

步骤2：将扩展API分成获取数据API、输出相关API、通信函数API和其他功能API四类；定义四类扩展API的改写规则，使得改写后的API只包含原生JavaScript函数，同时保持改写前API的输入输出数据流关系；依据改写规则对待测扩展中的扩展API进行改写；

步骤3：依据待测扩展生成动态测试页面，用于触发待测扩展与页面的交互行为；

步骤4：利用现有JavaScript动态污点跟踪工具对改写后的待测扩展添加污点传输标记，在生成的动态测试页面中引入并运行改写后的待测扩展的JavaScript代码，动态污点跟踪工具将根据污点传输标记记录敏感数据的输入和输出路径，从而检测出从Source到Sink是否存在敏感数据通路；

其中步骤2中定义四类扩展API的改写规则包括：

步骤2.1：获取数据API改写

获取数据API如chrome.*.*(a,b)，其中，*表示通配符，参数a表示对象，参数b表示回调函数，改写规则如下：

(i)用function chrome_*_*(a,b)替换chrome.*.*(a,b)；

(ii)根据chrome官方文档说明，设定a对象的相关属性值；

(iii)在function chrome_*_*(a,b)中调用b(a)；

步骤2.2：输出相关API改写

输出相关API的改写就是将chrome.*.*(data)改写为function chrome_*_*(data)，其中，*表示通配符；运行时将通过判断data是否携带污点标记来确定敏感数据是否输出；

步骤2.3：通信函数API改写

改写规则如下：

(i)提取通信接收函数chrome.*.*.addListener中的回调函数，*表示通配符，生成新的原生JavaScript通信接收函数onMessage()；

(ii)用function chrome_*_*替换A中chrome.*.*，在function chrome_*_*内调用onMessage(a)；

步骤2.4：其他功能API改写

其他功能API的改写就是将原有的chrome.*.*()替换成chrome_*_*()。

2.根据权利要求1所述的基于扩展API改写的Chrome扩展敏感数据跟踪方法，其特征在于，所述步骤1中，通过分析扩展API的输入输出数据关系，扩展Source包括获取当前页面DOM状态的DOM API以及获取浏览器中敏感数据的扩展API；扩展Sink包括发送敏感数据给第三方服务器、存储和下载的扩展API。