背景概述
2022年6月3日，MetaMask公开了白帽子发现的一个严重的Clickjacking漏洞，这个漏洞可以造成的影响是：在用户的MM插件钱包处于解锁状态，用户访问恶意的站点时，站点可以利用iframe标签将解锁的MM插件钱包页面嵌入到网页中并进行隐藏，然后引导用户在网站上进行点击操作，实际上是在MM解锁的页面中进行操作，从而盗取用户的数字货币或藏品等相关资产。鉴于MM的用户体量较大，且ForkMetaMask插件钱包的项目也比较多，因此在MM公开这个漏洞后，我们立即开始对这个漏洞进行复现，然后开始搜寻这个漏洞对于其他ForkMetaMask项目的影响。
随后，慢雾安全团队尽可能地通知受到影响的项目方，并引导项目方进行修复。现在将这个Clickjacking漏洞的分析公开出来避免后续的项目踩坑。
Oasis Labs与Meta建立合作，构建隐私保护平台助力AI模型公平性发展:7月28日消息，隐私计算网络 Oasis Network 开发商 Oasis Labs 宣布与著名科技公司 Meta 建立合作伙伴关系，作为 Meta 的重要技术合作伙伴，Oasis Labs 构建了使用安全多方计算 (SMPC) 的平台，其加密技术不仅能为个人敏感数据提供高水平的隐私保护，并能够帮助 Meta 衡量偏见和公平性，助力 Meta 公司 AI 模型公平性发展，建立有责人工智能（Responsible AI）和有责数据使用，以促进一个更公平、更具包容性的社会。?
据悉，Oasis Labs 旨在利用区块链、隐私计算和隐私保护技术，建立相关系列平台和产品，进一步促进个人隐私保护、数据治理和有责数据使用。Oasis 的技术专注于让开发人员更轻松地整合隐私保护数据存储、治理和计算。[2022/7/28 2:44:10]
漏洞分析
波卡域名服务PNS将于4月26日上线 支持MetaMask钱包和GLMR代币支付:金色财经消息，波卡域名服务PNS将于北京时间4月26日18:00上线。PNS注册费用为20美元，年费5美元，上线后两周内铸造将获得50%的折扣，PNS支持MetaMask钱包和GLMR代币支付。新注册的用户可获得PNS Pioneer NFT。团队表示，推出代币并不在目前的计划中，未来将会推出早鸟奖励。[2022/4/25 14:48:20]
由于MM在发布这个Clickjacking漏洞的时候并没有详细的说明，仅是解释了这个漏洞的利用场景以及能够产生的危害，所以我在进行复现的时候也遇到了挺多坑，所以为了让大家能够更好地顺畅地理解整个漏洞，我在进行漏洞分析之前先补充下一个知识点。
我们来了解下Manifest-WebAccessibleResources。在浏览器扩展钱包中有这么一个配置：web_accessible_resources，其用来约束Web页面能够访问到浏览器扩展的哪些资源，并且在默认的情况下是Web页面访问不到浏览器扩展中的资源文件，仅浏览器扩展的本身才能访问到浏览器扩展的资源。简而言之就是http/https等协议下的页面默认是没法访问到chrome-extension，当然如果扩展钱包配置了web_accessible_resources将扩展钱包内部的资源暴露出来，那么就能被http/https等协议下的页面访问到了。
苹果聘用Meta前公关高管，明年或发布混合现实头显:12月27日，美国苹果公司已宣布聘用社交网络巨头 Meta 前任增强现实项目公关负责人 Andrea Schubert，预计将为明年对外正式发布混合现实（MR）或增强现实（AR）硬件产品做准备。
此外，报道中提到明年很可能会看到苹果七年来的第一个主要新产品类别：一款功能强大且价格昂贵的混合现实头显硬件，Meta 旗下的 Oculus 已经成为头显市场的领导者，所以苹果这一“挖角”意味着自家产品接近发布并且可能会和 Meta 在元宇宙市场中展开竞争。（彭博社）[2021/12/27 8:06:47]
而MM扩展钱包在10.14.6之前的版本一直保留着"web_accessible_resources":的配置，而这个配置是漏洞得以被利用的一个关键点。
Metis Layer2主网测试网将在9月初正式上线:据Metis官方推特公布的最新路线图，经过几个月的筹备，Metis Layer2主网测试网将在9月初正式上线。项目和社群可以在Metis Layer2主网测试网上构建DAC（去中心化公司），在Layer1和Layer2之间的转移Metis代币，并进行质押和挖矿。根据质押的数量和算力，DAC及其成员还将有机会在挖取到Metis Layer2 上新上线项目的代币，并获得相应的投资额度。
另外，根据其最新的路线图，Metis Layer2的主网先行者版本将于10月份正式上线，支持更多的Web3应用基于其Layer2 DAC框架快速上线和进行去中心化管理。[2021/8/11 1:48:52]
然而在进行漏洞分析的时候，发现在app/scripts/phishing-detect.js(v10.14.5)中已经对钓鱼页面的跳转做了协议的限制。。
声音 | Coinmetrics：以太坊交易费用转化为挖矿收入的比例要高于比特币:金色财经报道，Coinmetrics在其最新的网络状态报告中比较了比特币和其他主要加密货币的收入百分比指标。2019年，BTC和ETH的交易费用转化为挖矿收入的比例更高，这表明相较于其他加密资产，这两种加密货币在安全和健康性方面的增长更大。值得一提的是，ETH的这一指标为3.2%，高于比特币的0.8%。Mythos Capital创始人Ryan Sean Adams强调，这一特殊指标的重要性远比人们想象得要高。根据Adams的说法，转为矿工收入的费用越高，网络的安全性就会直接提高。他补充称，交易费用允许较低的发行规模，同时维持了很大的保护。Adams还表示，以太坊是一个更好的SoV（价值存储），因为它的费用占收入的比例更高。[2020/1/3]
我们继续跟进这个协议限制的改动时间点，发现是在如下这个commit中添加了这个限制，也就是说在v10.14.1之前由于没有对跳转的协议进行限制，导致Clickjacking漏洞可以轻易被利用。
相关的commit:
https://github.com/MetaMask/metamask-extension/commit/c1ca70d7325577835a23c1fae2b0b9b10df54490
https://github.com/MetaMask/metamask-extension/compare/v10.14.0...v10.14.1
为了验证代码的分析过程，我们切换到protocol限制之前的版本v10.14.0进行测试，发现可以轻松复现整个攻击过程。
但是在MM公开的报告中也提到，Clickjacking漏洞是在v10.14.6进行了修复，所以v10.14.5是存在漏洞的，再继续回头看这里的猜想。。
经过反复翻阅代码，在v10.14.5以及之前版本的代码，会在钓鱼页面提示的时候，如果用户点击了continuingatyourownrisk.之后就会将这个hostname加入到本地的白名单列表中。从而在下一次访问到该网站的时候就不会再出现MetaMaskPhishingDetection的提醒。
比如这个钓鱼网站：ethstake.exchange，通过iframe标签将钓鱼网站嵌入到网页中，然后利用Clickjacking漏洞就能将恶意的钓鱼网站加入到白名单中，同时在用户下一次访问钓鱼网站的时候MM不会再继续弹出警告。
分析结论
如上述的分析过程，其实MM近期修复的是两个Clickjacking漏洞，在复现过程中发现最新的v10.14.6已经将web_accessible_resources的相关配置移除了，彻底修复了MetaMaskPhishingDetection页面的点击劫持的问题。
利用Clickjacking漏洞诱导用户进行转账的修复：
https://github.com/MetaMask/metamask-extension/commit/c1ca70d7325577835a23c1fae2b0b9b10df54490
利用Clickjacking漏洞将钓鱼网站加入到白名单的修复：
https://github.com/MetaMask/metamask-extension/commit/7199d9c56775111f85225fe15297e47de8e2bc96
慢雾安全团队对chrome扩展商店中的各个知名的扩展钱包进行了Clickjacking的漏洞检测，发现如下的钱包受到Clickjacking漏洞影响：
CoinbaseWallet(v2.17.2)
Coin98Wallet(v6.0.6)
MaiarDeFiWallet(v1.2.17)
慢雾安全团队第一时间联系项目方团队，但是到目前为止部分项目方还未反馈，并且MM公开这个漏洞至今已经过去了11天。为了避免用户因为该漏洞遭受损失，慢雾安全团队选择公开漏洞的分析。如果受影响的相关项目方看到这篇文章需要协助请联系慢雾安全团队。
慢雾安全团队再次提醒浏览器扩展钱包项目方如果有基于MetaMask
慢雾安全团队建议普通用户在项目方还未修复漏洞之前可以先暂时停止使用这些扩展钱包，等待钱包官方发布修复版本后，用户可以及时更新到已修复的版本进行使用。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。