漏洞詳情
- 組件： Firefox 密碼管理器
- 缺陷： 用戶登錄時，管理器未充分驗證表單提交目標是否為合法源站服務器，僅檢查域名匹配
- 利用條件： 攻擊者能在目標站點(如 MySpace)植入可載入外部表單的 HTML 頁面
攻擊演示
- 受害者訪問
login_home_index_html 偽裝頁面
- Firefox 自動填充 MySpace 賬號密碼
- 表單提交至攻擊者控制的服務器，憑證被竊取
- 開發測試數據庫目錄洩露顯示 Mozilla 內部將其定級為 Critical (危急)
根因分析
「從編程角度看，這行為幾乎像『打印』一樣——把密碼直接發送給請求頁面，而不驗證接收端真實身份。」—— Robert Chapin
IE 同類問題對比
- IE 同樣存在「不驗證提交目標真實性」缺陷
- 但 IE 在自動填充前執行更嚴格的源站驗證邏輯，利用難度較高
緩解與最佳實踐
- 瀏覽器廠商：修補邏輯，強制驗證表單
action 屬性指向的源站與密碼保存源站一致(同源策略)
- 用戶：
— 關閉瀏覽器內置密碼管理器，改用專業密碼管理器(1Password, Bitwarden 等)
— 啟用網站級雙因子認證(MFA)
— 定期審計已保存憑證，清理不再使用的站點記錄
- 網站開發者：
— 實施 CSP (Content Security Policy) 限制表單提交目標
— 登錄頁面部署 CSRF Token、SameSite Cookie、Referrer-Policy
— 監控異常登錄嘗試與憑證填充攻擊