纯粹基于HTML + CSS的浏览器开发

Question

2011年，伊莱·福克斯-爱泼斯坦在HTML +CSS3 3中演示了一个规则110机器。

这导致一些人认为说 + CSS3的组合是图灵完备。

不管HTML + CSS3在技术上是否是完全的，是否有任何已知的攻击(在野外，或作为概念的证明)攻击浏览器(不是插件、插件等)纯粹使用HTML + CSS？

如果是这样的话，请总结至少一个这样的利用。

Answer 1

是的，过去有很多只依赖恶意HTML和CSS代码的漏洞。

您是对的，解析一种复杂的图灵通语言可能更容易出错，这给攻击者提供了更多的工具来完成攻击。然而，在处理代码过程中使用的CSS解析器或其他模块的实现有许多不同的方式可能容易受到攻击。

例如，以CVE-2010-2752-Mozilla Firefox CSS font-face Remote Code Execution Vulnerability为例。创建一个具有精心编制的CSS font-face规则的网站可能会触发此漏洞，但它有可能危及主机。

有缺陷的代码位于Mozilla的CSS解析器中，有一个小错误:当分配内存来存储font-face引用时，索引使用了一个16位整数。但是，当实际值被填充时，将使用32位整数.当样式表提供外部字体引用的外部数量时，这种不一致性会导致整数溢出。因此，攻击者可以写入意外的内存位置，并将索引溢出转化为任意代码执行漏洞。

由于Mozilla核心大部分是用C++编写的，因此没有内置的溢出保护，开发人员负责安全地处理内存。用Python编写的浏览器可能面临非常不同类型的漏洞(而且速度慢得令人痛苦)。