Tóm tắt nội dung: Phát hiện mật khẩu đã lưu trên Edge đang nằm trong RAM dưới dạng văn bản thuần túy.
Đã cập nhật phương pháp để anh em tự kiểm chứng việc này ở cuối bài viết.
Xác nhận bài viết là đúng, tất cả mật khẩu đang được phơi bày và có thể lấy nó vô cùng đơn giản.
Trình duyệt Microsoft Edge sẽ giải mã toàn bộ mật khẩu đã lưu và giữ chúng trong bộ nhớ tiến trình(bộ nhớ ram) dưới dạng văn bản thuần túy ngay từ khi khởi chạy. Bao gồm cả thông tin xác thực cho các trang web bạn không mở trong phiên này.
Nhà nghiên cứu @L1v1ng0ffTh3L4N đã kiểm tra mọi trình duyệt Chromium lớn khác. Edge là trình duyệt duy nhất hoạt động theo cách này.
Chrome giải mã thông tin xác thực theo yêu cầu, và App-Bound Encryption khóa các khóa vào 'một' tiến trình Chrome đã xác thực để các tiến trình khác không thể tái sử dụng chúng.
Trong Chrome, văn bản thuần túy chỉ xuất hiện trong quá trình tự động điền hoặc khi xem mật khẩu, khiến việc quét bộ nhớ trở nên kém hữu ích hơn nhiều.
Điều kỳ lạ hơn là Edge vẫn yêu cầu xác thực lại trước khi hiển thị những mật khẩu đó trong giao diện Trình quản lý mật khẩu, trong khi cùng tiến trình trình duyệt đó đã giữ tất cả chúng dưới dạng văn bản thuần túy.
Trong môi trường sử dụng chung 1 máy PC, có nhiều tài khoản Windows khác nhau, điều này biến thành một vụ thu hoạch thông tin xác thực. Trên máy chủ terminal, kẻ tấn công có quyền admin có thể đọc bộ nhớ của mọi tiến trình người dùng khác đang đăng nhập.
Trong video PoC đã công bố, một tài khoản admin bị xâm phạm đã lấy thông tin xác thực lưu trữ từ hai người dùng khác đang đăng nhập (và thậm chí đã ngắt kết nối) với Edge đang chạy.
Phát hiện này được công bố vào ngày 29 tháng 4 tại BigBiteOfTech bởi PaloAltoNtwks Norway, bằng một công cụ giáo dục nhỏ để minh họa, giúp bất kỳ ai cũng có thể tự mình kiểm chứng các dữ liệu nhạy cảm đang nằm trong RAM dưới dạng văn bản thuần túy.
Phản hồi của Microsoft khi được báo cáo: "ban đầu nó được thiết kế như vậy."
Trong môi trường sử dụng chung, đó không phải là lựa chọn thiết kế. Đó là một rủi ro.
Cập nhật: Cách tự kiểm chứng việc mật khẩu lưu trên trình quản lý mật khẩu của trình duyệt Edge đang nằm trong Ram dưới dạng văn bản.
- 1. Mở Edge. Đừng duyệt web đâu cả, chỉ cần mở nó lên.
- 2. Mở Task manager lên, tìm Edge, mở rộng tác vụ đó.
- 3. Chọn tác vụ phụ "browser", nhấp chuột phải, và chọn "Create ."
- 4. Mở tệp bản sao lưu và tìm kiếm thông tin xác thực.
Để xem file .dmp thì anh em dùng
notepad ++, phải cài đặt plugin
Hex Editor như sau:
- Mở Notepad++
- Vào Plugins → Plugins Admin
- Tìm: Hex Editor
- Cài đặt và restart Notepad++
- Mở file → vào:
Plugins → Hex Editor → View in Hex
Nickname của tôi và mật khẩu đã lộ ra như thế này:
Người dùng Windows đã đăng nhập có thể trích xuất mọi thông tin xác thực Edge được lưu trữ mà không cần quyền bổ sung. Nghĩa là bất kỳ phần mềm độc hại nào mà người dùng đó thực thi đều có thể lấy được những thông tin xác thực đó một cách dễ dàng.
Xác nhận: Tôi đã thử phương pháp vừa cập nhật, rõ ràng là toàn bộ mật khẩu đã lưu trên Edge đều đang ở định dạng văn bản thuần túy mà không phải là dạng mã hóa. Bất kì ai có quyền admin, tiếp cận được máy của bạn thì đều có thể lấy toàn bộ mật khẩu.
Theo @IntCyberDigest