CSS-String-Injection 考古[网络技术]

恩 考古是我的爱好之一,记得从前blog过"《Hacking Oracle From Web》考古》" ,那此其实主如果考点‘八挂’,而本次的CSS-String-Injection考古,主如果看到了技术的发展和一些关联的思维方向....

首先作者还没有"injection"这个思绪的,当时只是简单的操纵css的跨域提取正常的css:

2008/08/30 Chris Evans发表blog 《Cross-domain leaks of site logins》 呵呵看到这个是不是想起JSON Hijacking【2006年1月 http://jeremiahgrossman.blogspot.com/2006/01/advanced-web-attack-techniques-using.html】别的在hitbsecconf2009dubai上的演讲《Cross-domain leakiness》也带了一下css跨域的问题

2009/05/20 Chris Evans发表blog《A more plausible E4X attack》 这个仿佛和css没有关系,但是在这个blog里表现了主动"injection"这个思绪.【这里满是我yy的,至于作者是不是真由于这个而想到css的操纵,那只有他自己知道了 :）】

2009/12/28 Chris Evans发表blog《Generic cross-browser cross-domain theft》 这个时刻才是巨大的"CSS-String-Injection"诞生了,他操纵注射css字符 {}body{background-image:url('http://谷歌.com/ 和 ');} 到达截取页面数据的目的,在此同时他也将这个漏洞报告给了各大主流浏览器官方:

Mozilla bug 524223  Chromium bug 9877  Webkit bug 29820

所以这个也是我们测试firefox等失利的缘由.【firefox是在 Firefox 3.5.11 and 3.6.7 里补钉的 】

接下来发表paper《Protecting Browsers from Cross-Origin CSS Attacks》到在fd上公布tweet的csrf的漏洞,到‘风靡环球’,这个历程大家基本都知道了.....

从上面的历程看得出来,主动与被动是有本质辨别的,当时我和luogg评论这个的时刻,他说他从前就发现了这个问题,但是没有想到主动去"injection",其实和这个近似的问题还有前段时间sobb里关于跨子域的问题操纵:《[SOBB-10]背后的0day》

别的在web 2.0 猥琐流的时代,玩的其实是思维意识,也就是说:猥琐流==意识流!!??

[update]

时间要推到2002年....
在《Data theft with CSS》里:

This attack has been known for some time. The earliest public description I have found was by GreyMagic Corporation in 2002. It has been rediscovered at least twice since then: by Matan Gillon in 2005, and by pseudonymous blogger ‘ofk’ in 2008 (article in Japanese). There are many variations, some of which no longer work, and some of which only work in IE. The variation I’ve described works everywhere that hasn’t deployed a defense; security researchers at CMU were able to use this attack to steal the contents of private messages from a bulletin board and two different webmail providers, with victims using unpatched versions of all the popular browsers.