[论文解读] SOK: On the Analysis of Web Browser Security

Jung‐won Lim, Yonghwi Jin+7 more|arXiv (Cornell University)|Dec 31, 2021

Web Application Security Vulnerabilities被引用 4

一句话总结

本文通过统一整合Chrome、Firefox、Safari和Edge的架构，并对浏览器漏洞、利用方式及缓解措施进行为期10年的纵向研究，系统分析了现代网页浏览器的安全机制。研究识别出关键漏洞，评估了前沿漏洞发现工具的有效性，并通过实际案例证明了主动防御措施的优越性，为未来浏览器加固与安全设计提供了可操作的见解。

ABSTRACT

Web browsers are integral parts of everyone's daily life. They are commonly used for security-critical and privacy sensitive tasks, like banking transactions and checking medical records. Unfortunately, modern web browsers are too complex to be bug free (e.g., 25 million lines of code in Chrome), and their role as an interface to the cyberspace makes them an attractive target for attacks. Accordingly, web browsers naturally become an arena for demonstrating advanced exploitation techniques by attackers and state-of-the-art defenses by browser vendors. Web browsers, arguably, are the most exciting place to learn the latest security issues and techniques, but remain as a black art to most security researchers because of their fast-changing characteristics and complex code bases. To bridge this gap, this paper attempts to systematize the security landscape of modern web browsers by studying the popular classes of security bugs, their exploitation techniques, and deployed defenses. More specifically, we first introduce a unified architecture that faithfully represents the security design of four major web browsers. Second, we share insights from a 10-year longitudinal study on browser bugs. Third, we present a timeline and context of mitigation schemes and their effectiveness. Fourth, we share our lessons from a full-chain exploit used in 2020 Pwn2Own competition. and the implication of bug bounty programs to web browser security. We believe that the key takeaways from this systematization can shed light on how to advance the status quo of modern web browsers, and, importantly, how to create secure yet complex software in the future.

研究动机与目标

• 为解决尽管主流浏览器在网络安全中扮演关键角色，但目前仍缺乏对各大厂商浏览器安全机制的全面、客观的系统化梳理这一问题。
• 分析过去10年中浏览器漏洞、利用技术及缓解策略的演变过程。
• 评估自动化漏洞发现工具（如模糊测试工具和静态分析工具）在检测复杂浏览器漏洞方面的能力。
• 通过2020年Pwn2Own竞赛中的真实端到端利用链，展示主动防御措施的价值。
• 为研究人员和厂商提供可操作的见解，以通过共享设计原则和协同修补机制提升浏览器安全性。

提出的方法

• 构建了一个统一的架构模型，用于对比分析Chrome、Firefox、Safari和Edge在沙箱机制与内存安全方面的安全设计。
• 基于CVE、问题追踪系统和厂商报告，对过去10年公开报告的浏览器漏洞进行了纵向研究，识别漏洞类型与可利用性趋势。
• 评估了前沿模糊测试工具（如ClusterFuzz、LangFuzz、DIE）和静态分析工具（如SYS）在检测浏览器引擎漏洞方面的能力。
• 分析了2020年Pwn2Own竞赛中的完整攻击链，逆向还原攻击流程，并评估现有缓解措施的有效性。
• 提出一种主动防御模型：在公开披露前，将新型缓解措施（如StructureID随机化）部署于隔离的、安全的浏览沙箱环境中。
• 倡导在浏览器之间共享JavaScript引擎库，以实现更快的空中更新式修补，并降低浏览器引擎同质化带来的影响。

实验结果

研究问题

• RQ1 Chrome、Firefox、Safari和Edge在沙箱机制与内存安全方面的安全架构有何异同？其对攻击面有何影响？
• RQ2 过去十年中，主导性的浏览器漏洞类别是什么？它们如何随着新缓解技术的出现而演变？
• RQ3 现代自动化漏洞发现工具（模糊测试与静态分析）在检测大规模浏览器代码库中的复杂逻辑错误方面，其成功率如何？
• RQ4 主动缓解策略在防御零日攻击方面的有效性如何？是否可在公开披露前部署？
• RQ5 浏览器引擎的同质化如何放大漏洞的影响？哪些架构调整可改善协同修补机制？

主要发现

• 模糊测试工具如ClusterFuzz仅在Chrome中就发现了超过29,000个漏洞，工业级模糊测试工具（如25,000核集群）显著优于学术级工具。
• 静态分析工具如SYS通过聚焦静态检查识别出的高风险代码区域进行符号执行，展现出在大规模浏览器代码库中扩展应用的潜力。
• 尽管技术不断进步，自动化工具仍无法替代人工代码审计来发现复杂逻辑错误，凸显了当前漏洞发现机制中的关键缺口。
• 最初为防止UXSS而设计的站点隔离机制，也有效缓解了Spectre/Meltdown攻击——这证明了主动防御与纵深防御设计的价值。
• 浏览器引擎（如V8、JavaScriptCore）的同质化意味着单一漏洞可能影响多个浏览器，凸显了共享可修补引擎库的迫切需求。
• 在公开发布前，将新型缓解措施（如StructureID随机化）部署于隔离的、安全的浏览沙箱中，可有效检测并阻止现实世界中的零日攻击。