📈   #заметки #мероприятия #offense #web #web3

➡Безопасность стека технологий, располагающихся у границы "классического" Web 2, привычного для многих пентестеров и багхантеров, – эксклюзивный раздел инфобеза;

Казалось бы, мы много что знаем о безопасности одной из таких технологий – браузерных расширений, но ведь – в основном – в контексте их злонамеренной опасности 🤔

Посудите: обширный пласт доступного извне материала хоть и посвящён расширениям, но рассматривает в большей степени заведомо вредоносные разработки;

➡А как обстоит вопрос с безопасностью легитимных браузерных расширений?

Мои коллеги из команды Neplox презентовали доклад ‟Attacking Crypto Wallets: an In-Depth Look at Modern Browser Extension Security” на конференции SECCON в Токио ❤️

Их доклад – о проблемах обеспечения безопасности браузерных расширений, о специфике уязвимостей, обнаруженных ими в Web 3 кошельках, и о рекомендованных практиках разработки; Доклад получил награду за лучшую презентацию и его посетил соучредитель Metamask, круто же? ❗️


Принесла нам слайды презентации:

   🧩   ‟Attacking Crypto Wallets: an In-Depth Look at Modern Browser Extension Security”

   ⬇  attacking-crypto-wallets.pdf  ⬇

 1️⃣  Архитектура расширений
 2️⃣  Интерфейсы расширений
 3️⃣  Взаимодействие расширений с сайтами
 4️⃣  Взаимодействие сайтов с расширениями
 5️⃣  Chrome и расширения

 💻  Продукты: Coinbase, Crypto.com, Zerion, Uniswap, ...

 💻  CVE: CVE-2024-10229, CVE-2024-11110 (by Slonser)

➡Что ещё почитать про безопасность браузерных расширений?

   🧩   ‟База знаний: extensions.neplox.security”

   🧩   ‟Github Blog: Attacking browser extensions”

   🧩   ‟Universal Code Execution by Chaining Messages in Browser Extensions”

➡Stay safe!

   @HaHacking  🐇