研究人員證明，代理設置漏洞暴露 HTTPS URL，黑客可肆意發起攻擊。該漏洞影響絕大多數操作系統和Web瀏覽器，可被用于滲漏 HTTPS URL 及進行各種惡意活動。
該攻擊依賴于代理自動配置(PAC)文件，也就是指定Web瀏覽器和其他用戶代理如何處理HTTP、HTTPS和FTP流量的文件。PAC文件使用名為FindProxyForURL的JavaScript函數,確定URL是直接獲取還是通過代理服務器獲取。
該PAC文件的位置,可被系統使用Web代理自動發現(WPAD)協議，通過DHCP或DNS自動檢測到。微軟Windows系統和IE瀏覽器默認開啟了此項功能，OS X 和Linux操作系統，以及Chrome、Safari和火狐瀏覽器也支持。WPAD常被公司企業用于確保他們所有系統都有統一的Web代理配置。
以色列安全公司SafeBreach的研究人員發現，通過在FindProxyForURL函數內部實現惡意邏輯，攻擊者可以讀取用戶訪問的URL，包括 HTTPS URL，進而滲漏它們。
該攻擊對Windows、Mac和Linux系統都有效，所有主流Web瀏覽器也沒能幸免于難。
下周在拉斯維加斯舉行的黑帽大會上，SafeBreach首席技術官兼共同創始人伊特茲克·科特勒，該公司安全研究副總裁阿密特·克雷恩，將分享有關該漏洞的詳細信息，并發布利用該攻擊方式的概念驗證惡意軟件。值得指出的是，PAC文件也被很多惡意軟件利用，比如說，影響到韓國10萬名用戶的“黑月(BlackMoon)”木馬。
科特勒和克雷恩在訪談中說，發起攻擊的方式有兩種。一種是通過可以訪問目標系統的惡意軟件將靜態“proxy.pac”文件放進去，配置被感染的計算機使用該文件。
第二種方法涉及到WPAD。如果受害設備被配置為使用該協議，攻擊者可利用中間人攻擊劫持WPAD相關通信，確保惡意PAC資源被瀏覽器使用。該攻擊方法在攻擊者可訪問局域網或開放WiFi連接的情況下最理想，比如說公共場所可用的那些(咖啡館、酒店、機場等等)。
一旦攻擊者將系統配置為使用他們的惡意代理，他們可截獲受害者訪問的所有URL，并滲漏到被攻擊者控制的機器上。
該問題的根源在于，低信任代碼(如JavaScript)可被下載并在此類環境(HTTPS流量-高信任)中執行而不需要任何的證書、數字簽名或保護措施。
HTTPS URL可被攻擊者截獲，帶來了嚴重的安全和隱私風險。研究人員指出，惡意行為人不僅可以獲取從URL中能直接找到的敏感信息(比如搜索項)，還可以獲得用戶重設賬戶口令時訪問的URL。如果攻擊者成功搶在合法用戶之前重設了口令，他們便可將受害用戶鎖在賬戶門外。
另一個問題與文檔共享有關。企業用戶通常通過文件或文檔共享服務產生的鏈接來共享敏感信息。一旦獲取了這些URL，黑客可很容易地讀取到這些信息。
該攻擊方法會打開一個雙向通信信道——攻擊者不但可以滲漏數據，還能像受害者發送數據。分布式拒絕服務(DDoS)之類的攻擊都可利用該方式發起。
只要建立起感染了PAC惡意軟件的僵尸網絡，發起DDoS攻擊易如反掌。他們可以指定目標網站的IP地址和端口，讓所有受感染設備在用戶想要訪問某在線資源的時候發起對目標網站的訪問。黑客可以保證受害者被帶往他們試圖訪問的站點以避免引起懷疑，但那必須是在訪問請求被發往目標網站以造成過載之后了。
威脅行為人當然還可以導致本地DoS狀況。攻擊者可以配置PAC在用戶想要訪問特定在線服務(比如瀏覽網頁或更新殺軟)的時候使用無效代理。通過指定一個不存在的代理地址，攻擊者便成功阻止了用戶獲得該服務。
該問題不止影響到了瀏覽器——任何依賴代理配置的應用都會受到影響，比如前文提到的殺軟更新——這種未必使用到Web瀏覽器的情況。
某些情況下，該漏洞還可以用于網絡釣魚。一些Web瀏覽器，比如IE，支持JavaScript的 alert 函數返回PAC變量和函數的值。Alert函數會在被訪問網站頁面上打開一個基本對話框窗口，讓威脅行為人可以顯示誘拐用戶去訪問釣魚URL，或在用戶試圖訪問特定站點(如銀行、支付服務等)時能被誘騙去撥打詐騙電話的信息。
雖然問題的根源在于WPAD/PAC安全設計缺陷，每個瀏覽器和操作系統廠商也可以采取措施來降低潛在攻擊的暴露面。
安全公司 Context Information Security 也獨立進行了類似的研究，并通知了受影響的廠商。這家公司表示，蘋果在5月份解決了 OS X 和iOS中的問題，而谷歌在7月打上了Chrome和安卓補丁。
DEF CON 上，Context Information Security 將會在題為“毒代理--繞過HTTPS和VPN黑掉你在線身份”的展演中揭示其發現。
京公網安備 11010502049343號