Behave!

Une extension de navigateur (encore en développement) pour surveiller les pages qui se comportent comme des vilains.

NB : Ceci est le dépôt de code du projet. Si vous cherchez les extensions packagées :

Firefox: https://addons.mozilla.org/en-US/firefox/addon/behave/

Chrome: https://chrome.google.com/webstore/detail/mppjbkhgconmemoeagfbgilblohhcica/

Introduction.

Behave! surveille et avertit si une page web effectue l'une des actions suivantes :

• Scan de ports basé sur le navigateur
• Accès aux adresses IP privées
• Attaques de rebinding DNS vers des adresses IP privées

Voici Behave! montrant du doigt la page at.tack.er dans les journaux :

Surveillance du scan de ports

Behave! alertera l'utilisateur si le nombre de ports ou de protocoles utilisés pendant une session de navigation dépasse une limite spécifique.

La limite est de 20 par défaut, mais l'utilisateur peut la modifier via les préférences.

Comme Behave n'effectue aucune requête DNS,

Surveillance de l'accès direct aux adresses IP privées

Behave! alertera si une page web tente d'accéder directement à une IP appartenant à l'un des blocs suivants :

• Adresses de boucle locale IPv4 127.0.0.1/8
• Adresses de boucle locale IPv6 ::1/128
• Réseaux privés IPv4 10.0.0.0/8 - 172.16.0.0/12 - 192.168.0.0/16
• Adresses locales uniques IPv6 fc00::/7

Résolution DNS vers des adresses IP privées

Si un script malveillant ordonne au navigateur de se connecter à un FQDN dont le DNS faisant autorité résout en une adresse IP privée, Behave! vérifie si l'IP résolue est privée. Quoi qu'il en soit, l'information IP d'un nom d'hôte résolu n'est disponible que si le port est ouvert.

Comme Behave!, afin de prévenir les problèmes de TOCTOU, n'effectue aucune requête DNS externe, si le port est fermé, il n'y aura pas de résolution IP disponible et donc, pas d'alerte.

Contournements de rebinding DNS

Behave! n'effectue aucune requête DNS directe, et l'IP est extraite de la réponse interceptée.

Cela signifie qu'il n'est pas exposé à une attaque TOCTOU comme le rebinding DNS.

Surveillance du rebinding DNS

Behave! garde la trace si un nom d'hôte est résolu avec plusieurs IP, et alertera s'il y a un mélange entre des IP publiques et privées.

Installation

Behave! est disponible sous forme d'extension packagée sur :

Extension Firefox : https://addons.mozilla.org/en-US/firefox/addon/behave/

Extension Chrome : https://chrome.google.com/webstore/detail/mppjbkhgconmemoeagfbgilblohhcica/

Cependant, si vous voulez jouer un peu avec le code, vous pouvez :

• Clonez-le OU téléchargez le zip et décompressez-le
• Ouvrez Google Chrome/Chromium, allez dans chrome://extension
• Activez le mode développeur
• Cliquez sur « Load Unpacked » et choisissez le répertoire Behave.
• Profitez de Behave!

Vous voulez tester Behave! ?

Voyez ce qui se passe lorsque vous allez sur l'un des sites suivants :

Attaque de rebinding DNS Singularity of Origin : http://rebind.it:8080/manager.html

Scan de ports JavaScript : http://jsscan.sourceforge.net/jsscan2.html

Nota Bene: Pour l'instant, il n'alerte pas si une attaque de rebinding DNS est effectuée sur des IP non privées, comme : https://www.alf.nu/BrowserCacheAndDnsRebinding

Vous voulez aider ?

Vous êtes les bienvenus pour aider ! N'hésitez pas à créer une Issue ou à forker le projet et à faire une PR.