Vue.js devtools 通用 XSS（Chrome 扩展）

漏洞描述
在 中devtools-background.js，函数中存在代码注入toast。它可以由任意选项卡中的 postMessage 触发，从而导致在打开浏览器的开发者工具（F12）时发生通用 XSS。攻击者可以托管一个特制的网页来利用此漏洞，然后诱使用户查看该网页并在其他 Chrome 选项卡中打开开发者工具（F12）。

技术细节
Chrome 扩展程序的 中manifest.json，有三种类型的 Javascript 文件需要运行：background、content_scripts和devtools_page。第一种类型不涉及此漏洞，因此我们将忽略它。

content_scripts会注入到符合 URL 要求的网页中。需要注意的是，vue-devtools 并没有明确设置 all-frames 为true，因此content_scripts只会注入到 tab 中最上面的 frame 中。

devtools_page当用户打开浏览器的开发人员工具（通过热键F12或Ctrl+Shift+I右键单击->“检查”）时将会加载。

扩展程序的 content_scripts 之一detector.js添加了消息事件的事件监听器。它会检查消息是否从当前帧发送，并且已vueDetected设置为 true，然后将我们的消息转发给 chrome.runtime API。

window.addEventListener('message', e => {
if (e.source === window && e.data.vueDetected) {
chrome.runtime.sendMessage(e.data)
}
})
当用户打开浏览器的开发者工具时，devtool_pagedevtools-background.html将被加载。它只是嵌入devtools-background.js在脚本标签中。此脚本处理从 发送的消息chrome.runtime.sendMessage。

chrome.runtime.onMessage.addListener(request => {
if (request === 'vue-panel-load') {
onPanelLoad()
} else if (request.vueToast) {
toast(request.vueToast.message, request.vueToast.type) // vulnerable
} else if (request.vueContextMenu) {
onContextMenu(request.vueContextMenu)
}
})
在toast函数中我们可以看到参数message是通过模板字符串type传入的src，然后src在“inspectedWindow”中执行。

function toast (message, type = 'normal') {
const src = `(function() {
VUE_DEVTOOLS_TOAST(\`${message}\`, '${type}');
})()`

chrome.devtools.inspectedWindow.eval(src, function (res, err) {
if (err) {
console.log(err)
}
})
}
由于message和type在添加到 src 之前没有经过清理，我们可以制作一条特殊消息来逃离__VUE_DEVTOOLS_TOAST__函数，并注入任意 javascript 代码来执行。

请注意，使用和传递消息可用于一个扩展的任何部分。这意味着可以从一个选项卡发送特制消息，并在其他选项卡上运行注入的 javascript 代码。chrome.runtime.onMessagechrome.runtime.sendMessage

这张图描述了此漏洞中消息的处理方式