Google曝新跨站脚本漏洞 多款软件受威胁

安全研究人员在Google Spreadsheets应用软件中发现了一个严重的安全漏洞。攻击者利用这个安全漏洞能够访问一个用户全部的Google服务。

　　发现这个安全漏洞的研究人员Billy Rios称，虽然这个跨站脚本攻击(XSS)安全漏洞现在已经被Google修复了，但这启事件表明，随着软件服务的日益流行，危险也随之而来。

　　由于Google制作的身份识别过程的方式，一次跨站脚本攻击就能够访问一个用户全部的Google服务和文件。攻击者能够利用一次跨站脚本攻击(XSS)阅读你的Gmail电子邮件、在你的源代码站点(code.google.com)建立后门、窃取你的Google Docs文件编辑服务中的全部文件。

　　这个安全漏洞依靠IE浏览器确定服务器回复的内容类型的方式，忽略了内容类型头文件中包含的绕过安全措施的代码。火狐、Opera和Safar等浏览器也是如此。

　　Rios称，开发人员需要了解流行的浏览器处理器处理各种内容头文件的细微差别，否则，他们就会使自己的网络应用程序面临跨站脚本攻击的风险。

　　为了实施这种攻击，Rios向一个表格的第一个单元注入了HTML代码以及旨在显示用户cookie的Javascript脚本程序。接下来，IE浏览器就把这个内容看作是HTML代码，允许查看这个cookie。通过指向一个特别制作的表单文件的链接就能够实施这种攻击。

　　Rios在博客中称，公平地说，Google采用了精细的防御措施防御内容类型的嗅探活动。但这些防御措施对这种攻击不起作用。

　　Rios最新还公开批评谷歌的“Google Code”网站的一个安全漏洞(现在也修复了)，这个安全漏洞能够让窃贼窃取用户的口令。