渗透浏览器

2019年，渗透安全研究员在分析一批恶意广告样本时发现了一个反常现象：某些弹窗广告的浏览渲染进程，竟然能读取浏览器其他标签页的渗透DOM内容。按常理，浏览Chrome的渗透多进程架构应该把每个标签页隔离开。问题出在浏览器扩展的浏览content script注入机制上——那个扩展申请了``权限，而用户安装时根本没看权限列表。渗透

这就是浏览"渗透浏览器"的典型路径。不是渗透漏洞利用，不是浏览零日攻击，而是渗透利用浏览器本身的设计机制，在用户完全知情（但没真正理解）的浏览情况下完成数据攫取。

扩展生态：最大的渗透攻击面

Chrome Web Store上有超过18万个扩展。每个扩展都要求一组权限，浏览而大多数用户在安装时直接点"添加至Chrome"。渗透我做过一个非正式统计：随机抽取50个装机量超过10万的扩展，其中37个申请了"读取和更改您在所访问网站上的所有数据"权限。这个权限意味着扩展可以读取你打开的每一个页面上的每一个表单字段——包括密码、信用卡号、私信内容。

2023年，一个叫"PDF Toolbox"的扩展被曝光。它表面上提供PDF合并功能，实际上在用户访问电商网站时，悄悄替换页面上的联盟营销链接。这个扩展有超过200万安装量，存活了将近两年才被下架。类似案例还有"Great Suspender"，一个管理标签页的知名扩展，在被出售给新所有者后加入了恶意代码，最终被Google强制移除。

问题在于，浏览器的权限模型是"全有或全无"。扩展要么能访问所有网站，要么一个都访问不了。没有中间选项。用户面对一个PDF工具要求读取Gmail内容的权限请求，要么接受，要么不用。大多数人选择接受。

渲染引擎里的暗门

浏览器厂商自己也在不断扩展浏览器的能力边界。WebUSB允许网页直接与USB设备通信，Web Bluetooth让你通过网页连接蓝牙外设，File System Access API让网页获得本地文件读写权限。这些API的设计初衷是好的——让Web应用能完成更多任务。但每一次能力扩展，都意味着攻击面扩大。

2022年，研究人员演示了一个概念验证：一个恶意网页利用WebUSB API，在用户插入手机充电时，通过USB连接向手机发送AT指令，读取SIM卡信息。用户看到的是一个"充电助手"页面，实际上浏览器已经变成了一个USB中间人。

另一个方向是DNS-over-HTTPS。这个功能本意是加密DNS查询，防止运营商窥探。但它同时也让企业网络管理员和安全软件失去了对DNS流量的可见性。恶意软件可以利用这一点，通过浏览器内置的DoH通道进行C2通信，绕过传统的DNS监控。

用户才是真正的入口

技术手段再精妙，最终都要落到用户行为上。钓鱼网站不需要攻破浏览器，它只需要让用户自己输入密码。2024年初出现的一批钓鱼页面，甚至不伪装成银行或邮箱登录页，而是伪装成"浏览器更新提示"——一个全屏页面告诉你Chrome需要更新，点击按钮后跳转到真正的Chrome下载页，但在跳转前，页面已经通过`navigator.clipboard.readText()`读取了你剪贴板里的内容。

剪贴板权限在大多数浏览器里默认授予，不需要用户确认。这意味着任何网页都可以在你不知情的情况下读取你刚复制的密码、验证码、加密货币钱包地址。更隐蔽的是，某些网站会监听`paste`事件，在你粘贴内容到表单时截获数据。

我自己的习惯是：浏览器永远开两个配置文件。一个用于日常浏览和登录重要账户，不安装任何扩展。另一个用于测试和折腾，随便装扩展，但绝不登录任何真实账户。这个习惯坚持了三年，虽然麻烦，但至少让我在每次看到"某扩展泄露用户数据"的新闻时，能确认自己不在受影响范围内。

浏览器早已不是那个只用来"看网页"的工具了。它是一个操作系统，一个运行时环境，一个连接你数字身份和物理设备的枢纽。渗透它，不需要攻破它——只需要让它按照设计好的方式运行就够了。