恶意浏览器扩展行为分析与建模

ｃ ｎ ｒ ｔｌ．Ｉ ｉ ｈ ｏ ｎ ａ ｉｎ ｏ ｕ ｕ ｕ ｅｗ ｏ ｋｏｎ ｄ ｔ ｃｉ ｈ ａｉｉ ｕ ｒ ｗ ｓｒｅ ｅ ｓｏ ｓａ ｄ ｒ ａｉｉｇ ｔ ｏ ｃ ｅｅｙ ｔ ｓｔ ｅ ｆ ｕ ｄ ｔｏ ｆｏ ｒｆｔ ｒ ｒ ｅｅ ｔ ｔ ｅｍ ｌ ｏ ｓｂ ｏ ｅ ｘｔｎ ｉ ｎ ｎ ｅ ｌｚｎ ｈｅ ｎｇ ｃ ｓ ｃ ｒ ｒ ｗ ｓｒｔ ｏ ． ｅ ｕ ｅｂ ｏ ｅ ｏ １
还能够做更多的事情 ，如访 问用户主机本地文件 系统 ，并且拥有读 、写 、执行的权 限 ； 问网络 通信系统 ，与远程服务器建立套 访
接字进行通信 ； 创建 新的进程 ， 甚至阻挡一个正 在运行的进程 等， 这都使得浏览器扩展受到攻击者 的关 注， 从而 引发许多安全 问题 。 本文在对浏览器 扩展 的组 成 、运行原 理研究 的基础上 ，分 析、总结恶意浏览器扩展的行为特点，并建立基 于状态转 移的行
Ｋｅ ｏ ｄｓ Ｆｉｅ ｏ ｂ ｏ ｅ ｘ ｅ ｉ ｓ ｂ ｈ ｖｏ － ａ ｅ ｎａｙｓｓ ｓａｅｔａ ｓｔｏ ｏ ｅ ｙｗ ｒ ： ｒ ｆ ｘ； ｒ ｗｓ ｒｅ ｔｎｓｏｎ ； ｅ ａ ｉｒｂ ｓ ｄ ａ ｌ ｉ； ｔｔ ｎ ｉ ｎｍ ｄ ｌ ｒ ｉ
０引 言
网页浏览器工具的发展 ，改变了早先仅仅 对于 Ｈ ＭＬ语言文档 解析的单一功能 ，已经发展成显示丰富的多媒体内容 ，可与用 Ｔ 户交流 、互动 的网页内容工具。浏览 器工具在增加 自身功能 的同时，也 增加了对于浏览器扩展、插件 的支持，以进一步丰富浏览 器 的功能。ＭｏｉａＦｒｆ 浏览器作为一个开源的项 目，使 得开发者和程序爱好者能够更 加容易地扩展 Ｆｒｆ 浏览器的功能。编 ｚｌ ｉ ｏ ｌ ｅ ｘ ｉ ｏ ｅｘ
对 恶 意浏 览 器 扩展 的 行 为进 行 分 类 ，并 建 立 恶意 浏 览 器扩 展 的状 态转 移行 为模 型 ， 以对 恶 意浏 览 器 扩展 的 恶 意行 为 进行 较 为 全 面 的描 述 ，为后 续针 对 恶意 浏 览 器扩展 的检 测 工作 奠定 基础 ， 以期 建立 和 完善 安
写浏览器扩展的形式 ，不仅对浏览器功能 进行了扩充 ，也使得浏览器 扩展可以运行于多种操作系统平 台的 Ｆｒｆｘ ｉｅｏ 浏览器 中，因
此更具跨平台性，这也是深受程序爱好者青 睐的重要原因。 随着浏览器扩展 、插件在浏览器 中的广泛使用，在扩充浏览器功能的同时，也带来了新 的安全问题，同 Ｍｉｒｓ ｆ Ｉ ｃｏｏｔ Ｅ浏览器
Ｂ ｏｎ ， ０ ０ ３Ｃｈｎ ｅ＇Байду номын сангаас １０ ９ ｉａ） ｉ
Ａｂｓ ｒ ｃ ：Ｂａ ｅ ｎ ｔ ｐｅ ｓ ｕ ｃ ｏ ｓ ｒ ｔａｔ ｓ ｄ ｏ ｈｅ ｏ ｎ— ｏ ｒ ｅ ｂｒ ｗ ｅ ，Ｆｉｅ ｏ ｒ ｆ ｘ，ｗｅ ｉ ｖｅ ｔｇａｅ ｉｔ ｈ ｈ ｖｉ ｆｔ ｅ ｂ ｏｗｓ ｒ ｎ ｓｉ ｔ ｎ ｏ ｔ ｅ ｂｅ ａ ｏｒｏ ｈ ｒ ｅ ｅ ｔｎｓｏ ｉｈ ａ ｅｅ ｅ ｕｉ ｇ ｗｉｈｎ Ｆｉｅ ｘ， ｎ ｌｓ ｉ ｔ ａｉｉｕｓｂ ｏ ｓｒｅ ｔｎ ｉｎｓｉ ｔ ｏ ｒｃ ｔ ｇ ｒｅ ｘ ｅ ｉｎｓｗｈｃ ｒ ｘ ｃ ｔｎ ｔ ｉ ｒ ｆ ｏ ａ ｄ ｃａ ｓｆ ｈｅｍ ｌ ｏ ｒ ｗ ｅ ｘｅ ｓｏ ｎ ｏｆ ｕ ａｅ ｏ ｉｓ ｙ ｃ ａ ｒ ｐｏ ｅ ｔ ｔ ｔ －ｒ ｎｓｔｏｎ－ ｓ ｄ ｂ ｈａ ｉ ｒｍ ｏｄ ｈｅ ｍ ａｉ ｉ ｕ ｎｅ ｏ ｄ ｐｉｔｔ ｉ ｈａ ｉ ｒｍ ｏ ｅ ｎｄ ｐ ｏ ｓ ｈｅ ｓａ ｅ－ ａ ｉｉ ・ ｔ ｂａ ｅ ｅ ｖ ｏ ｅｌｏｆｔ ｌｃ ｏ ｓ ｏ ｓｔ ｅ ｃ ｈｅｒｂｅ ｖ ｏ ｒ
全 浏 览器 。
关键词 ：Ｆｒ ｏ ；浏 览 器扩展 ；行 为 分析 ；状 态转 移模 型 ｉ ｆｘ ｅ
中图分类号：Ｔ ３ ３０ 文献标识码 ：Ａ Ｐ ９． ８
文章编号：１７ — １２（ ０２） ８ ０ １— ３ ６ １ １２ ２ １ ０ — ０ ５ ０
Ｍ ｏ ｅｉ ｇ ａ ｄ Ａｎ ｌ ｚｎｇｔ ｅＢｅ ｖ ｏ ｆＭ ａ ｃｏ ｓＢｒ ｗｓ ｒ ｄ ｌ ｎ ａ ｙ ｉ ｈ ｈａ ｉ ｒｏ ｌ ｉ ｕ ｏ ｅ ｎ ｉ Ｅｘ ｅ ｉ ｎｓ ｔ ｎｓｏ
第２次 国 算 安全 术 流 《 基 ／２２ 第 ８ ７ 全 计 机 学 交 会 Ｉ》 ０年 ０ １ 期
恶意 浏览器扩 展行为 分析 与建模
王雷 ，张令 臣，向继 ，余 幸杰
（中国科 学院信 息工程研 究所信 息安全 国 家重点 实验 室 ，北 京 １ ０ ９ ） ００ ３
摘 要 ： 章基 于开 源的 Ｆｒｆ 文 ｉ ｏ ｅ ｘ浏 览器 ， 对运 行 于 Ｆｒ ｏ 内部 的 浏 览器扩 展 的行 为进 行分 析 、 结 ， ｉ ｆｘ ｅ 总
Ｗ Ａ Ｇ ｅ ， ＨＡＮＧ ｎ — ｈ ｎ Ｘ Ｉ Ｎ Ｌ ｉＺ Ｌｉ ｇ ｃ ｅ 。 ＡＮＧ ｉ ＹＵ ｎ — ｉ Ｊ， Ｘｉ ｇ Ｊ ｅ
（ｔｔＫ ｙ ａ ｏａ ｒ ｆ ｎ ｒ ａｉ Ｓ ｃｒｙＩｓｔｔｏ ｉ ｏｍ ｔｎ ｎｉｅｒ ｇ Ｃ ｉ ｓ Ａ ａｅ ｙｏＳｉ ｃｓ Ｓａ ｅ Ｌ ｂｒｔ ｙｏｉ ｏｍ ｔｎ ｅｕｉ，ｎｔ ｅｆ ｎ ｒ ａｏ Ｅ ｇｎｅｉ ， ｈｎ ｅ ｃｄｍ ｆ ｃ ｎｅ， ｅ ｏ ｆ ｏ ｔ ｉ ｕ ｆ ｉ ｎ ｅ ｅ
的Ｂ ＨＯ插件 的安全 问题一样 ，由于误用 、滥用浏览器 扩展 ，恶意代码可能秘 密地执行一些恶意的操 作，危害用户数据安全 。安
装于 Ｆｒｆ 浏览器内的浏览器扩展， ｉ ｏ ｅｘ 可以获得与 Ｆｒｆｘ ｉ ｏ 浏览器相 同的访 问控制权 限， ｅ 因此浏览器扩展除了能够完成其声称 的功能，