随手记

一、2022 微软团队 RCE

1. URL白名单绕过使用url编码

   <https://attacker.com>%23.office.com，则检查通过。但是，在解码 url 之后，它变成了https://attacker.com#.office.com，它会加载attacker.com
   

2. pluginHost 允许来自任何 webview 的危险 RPC 调用

   由于contextIsolation在 webview 上未启用，攻击者可以利用原型污染来调用对进程的任意电子 IPC 调用（请参阅附录部分）。

   鉴于此原语，攻击者可以调用'calling:teams:ipc:initPluginHost'主进程的 IPC 调用，这会给出 pluginHost 窗口的 id。

   pluginHost 向任何 webview 公开危险的 RPC 调用，例如返回“已注册对象”的成员、调用它们以及导入一些列入白名单的模块。

二、WebView XSS，账户接管

三、Identity Confusion in WebView-based Mobile App-in-app Ecosystems

四、Facebook android webview 漏洞：执行任意 javascript (xss) 并加载任意网站

周末待看

• [ ]

• [ ]