После нескольких месяцев тестирования Microsoft сегодня объявила, что элемент управления WebView2 теперь доступен в составе Microsoft Edge всем разработчикам приложений. WebView2 используется в новом Edge на базе Chromium в качестве механизма отрисовки веб-элементов внутри приложений. Кроме того, он будет обновляться вместе с Edge, что позволит движку всегда оставаться в актуальном состоянии.
Это означает, что разработчики Windows-программ теперь получат доступ к новейшим веб-технологиям как для существующих, так и для новых приложений. Что касается планов по обновлению WebView 2 вместе с Edge, Microsoft заявила, что будет обновлять SDK каждые шесть недель. Предварительные версии WebView2 также будут доступны разработчикам.
Стоит отметить, что переход Microsoft Edge на движок Chromium и использование WebView2 вдохнули в браузер новую жизнь. Приложение теперь может работать с расширениями для Google Chrome, которые можно загружать прямо из веб-магазина Google. Также существует собственный магазин расширений. Благодаря таким нововведениям Microsoft Edge стал обретать новых поклонников. Напомним, что браузер поставляется по умолчанию с операционной системой Windows 10.
Среда выполнения Microsoft Edge WebView2 Runtime — что это и можно ли удалить
Источник:
Источник: 3dnews.ru
Фишеры могут обойти многофакторную аутентификацию с помощью Microsoft WebView2
Рекомендуем почитать:
Xakep #282. Атака Базарова
- Содержание выпуска
- Подписка на «Хакер» -60%
ИБ-эксперт, известный под ником mr.d0x, разработал новую технику атак, которая злоупотребляет приложениями Microsoft Edge WebView2 для кражи аутентификационных файлов cookie. Теоретически это позволяет обойти многофакторную аутентификацию при входе в украденные учетные записи.
Новая техника атак получила название WebView2-Cookie-Stealer и состоит из исполняемого файла WebView2, который при запуске открывает в приложении форму входа на легитимный сайт. Дело в том, что Microsoft Edge WebView2 позволяет встроить в нативные приложения браузер (с полной поддержкой HTML, CSS и JavaScript), используя Microsoft Edge (Chromium) для рендеринга. Используя эту технологию, приложения могут загружать любой сайт внутри самого приложения и отображать его так, будто он открыт в Microsoft Edge.
Однако исследователь обратил внимание, что WebView2 позволяет разработчику напрямую обращаться к файлам cookie и внедрять JavaScript на страницы, загружаемые приложением, а это делает его отличным инструментом для перехвата нажатий клавиш и кражи аутентификационных cookie.
Так, в PoC-эксплоите mr.d0x исполняемый файл открывает легитимную форму входа Microsoft с помощью встроенного элемента WebView2. Эта форма входа выглядит точно так же, как при использовании браузера и не содержит ничего подозрительного (опечатки, странные доменные имена и так далее).
Но поскольку приложение WebView2 может внедрять JavaScript на страницу, все данные, что вводит пользователь, автоматически отправляются на сервер злоумышленника. При этом похитить можно любые файлы cookie, отправленные удаленным сервером после входа пользователя в систему, включая и cookie для аутентификации.
Исследователь объясняет, для этого при первом запуске приложение создает папку Chromium User Data, а затем использует ее для каждой последующей установки. Затем вредоносное приложение использует встроенный интерфейс WebView2 ICoreWebView2CookieManager для экспорта файлов cookie, полученных при успешной аутентификации, и их последующей передачи на сервер, который контролирует злоумышленник.
Когда атакующий расшифрует cookie (base64), он получит полный доступ к аутентификационным cookie сайтов, а также возможность использовать их для входа в чужую учетную запись.
Также mr.d0x пишет, что приложения WebView2 можно использовать и для кражи файлов cookie из существующего профиля пользователя Chrome путем копирования.
«WebView2 можно использовать для кражи всех доступных файлов cookie текущего пользователя. Это было успешно протестировано в Chrome, — рассказывает специалист. — WebView2 позволяет осуществить запуск с существующей папкой User Data Folder (UDF), а не требует создать новую. UDF содержит все пароли, сеансы, закладки и так далее. UDF находится по адресу C:Users\AppDataLocalGoogleChromeUser Data».
В итоге злоумышленник может использовать эти cookie, просто перейдя к форме входа в систему для угнанной учетной записи, а затем импортировать cookie с помощью любого подходящего расширения для Chrome, например, EditThisCookie. После импорта cookie останется лишь обновить страницу для аутентификации на сайте.
Хуже того, такая атака позволяет обойти и многофакторную аутентификацию, так как файлы cookie воруются уже после того, как пользователь вошел в систему и успешно осуществил МФА.
«Допустим, злоумышленник настраивает Github.com/login в своем приложении webview2, и пользователь входит в систему, после чего файлы cookie могут быть извлечены и переданы на сервер злоумышленника. И вас не спасет использование Yubikey, потому что вы авторизуетесь на НАСТОЯЩЕМ сайте, а не на фишинговом», — объясняет mr.d0x.
В ответ разработчики Microsoft отмечают, что такая атака потребует подготовки и использования социальной инженерии, ведь сначала нужно убедить пользователя загрузить и запустить вредоносный исполняемый файл. В компании отметили, что всегда рекомендуют пользователям избегать запуска и установки приложений из неизвестных или ненадежных источников, а также поддерживать Microsoft Defender или другое защитное ПО в актуальном состоянии.
Источник: xakep.ru
Microsoft выпустила WebView2 для Win32-приложений на C/C++
Microsoft объявила о выпуске стабильной версии элемента управления WebView2 для Win32-приложений, написанных на языках C и C++. Данный компонент может использовать в различных версиях ОС Windows.
Элемент управления WebView2 основан на новом браузере Microsoft Edge. Он был анонсирован одновременно с заявлением компании о переводе собственного браузера на платформу Chromium. Таким образом, WebView2 является преемником устаревшего WebView, основанного на движке EdgeHTML, который использовался в Edge Legacy (UWP).
Стабильный элемент управления WebView2 пока доступен только для Win32-приложений, но до конца этого года ожидается выход версии для WinForms и WPF. А вот разработчикам UWP-приложений придётся подождать релиза WinUI 3, который, как и сам WebView2, является частью проекта Project Reunion.
Microsoft планирует каждые шесть недель выпускать новую версию WebView2 SDK, приурочивая их к стабильным релизам Microsoft Edge. В настоящее время WebView2 выпущен по модели распространения «Evergreen», а значит он всегда будет автоматически обновляться до актуальной версии.
Также будет существовать версия по модели «Fixed Version», где разработчик сам должен контролировать обновление элемента управления. В настоящее время версия «Fixed Version» находится на стадии тестирования, а её релиз должен состояться до конца этого года.
Источник: thecommunity.ru
Microsoft Edge WebView2 Runtime 1.3.167.21 [Ru]
Описание:
Элемент управления Microsoft Edge WebView2 позволяет внедрять веб-технологии (HTML, CSS и jаvascript) в собственные приложения. Элемент управления WebView2 использует Microsoft Edge в качестве подсистемы рендеринга для отображения веб-контента в собственных приложениях.
С помощью WebView2 вы можете встраивать веб-код в различные части собственного приложения или создать целиком собственное приложение в одном экземпляре WebView2.
Гибридный подход к приложению
- Веб-приложения позволяют обеспечить широкий охват. Как веб-разработчик вы можете повторно использовать большую часть кода на различных платформах.
- Чтобы получить доступ ко всем мощным возможностям собственной платформы, используйте собственное приложение.
- Экосистема и набор навыков для Интернета. Используйте всю веб-платформу, библиотеки, инструменты и таланты, имеющиеся в веб-экосистеме.
- Быстрые инновации. Веб-разработка позволяет более оперативно осуществлять развертывание и итерацию.
- Поддержка Windows 7, 8, 10 и 11. Поддержка согласованного пользовательского интерфейса Windows 7, Windows 8, Windows 10 и Windows 11.
- Возможности собственной платформы. Доступ к полному набору родных API.
- Совместное использование кода. Добавление веб-кода в кодовую базу позволяет чаще использовать его повторно на нескольких платформах.
- Служба поддержки Microsoft. Корпорация Майкрософт предоставляет поддержку и добавляет новые запросы на функции на поддерживаемых платформах.
- Распространение актуальной версии. Опора на обновленную версию Chromium с регулярными обновлениями платформы и исправлениями безопасности.
- Распространение неизменяемой версии. Необязательная упаковка определенной версии Chromium в приложении.
- Постепенное принятие. Добавление веб-компонентов в приложение по частям.
- Win32 C/C++
- .NET Framework 4.5 или более поздняя версия
- .NET Core 3.1 или более поздняя версия
- .NET 5
- .NET 6
- WinUI 2.0
- WinUI 3.0
Источник: torrent-soft.pro